Leyes de Notificación de Violaciones de Datos de Washington: Reglas y Plazos de Reporte (2026)

Las empresas de Washington deben notificar a los consumidores afectados dentro de 30 días de descubrir una violación de datos bajo RCW 19.255.010, y también deben notificar al Fiscal General cuando una sola violación requiera notificar a más de 500 residentes de Washington. El plazo se aplica sin importar el tamaño de la empresa, y el conteo comienza en la fecha del descubrimiento, no cuando ocurrió la violación.

El estado de Washington tiene una de las leyes de notificación de violaciones de datos más completas de Estados Unidos. Su plazo de notificación de 30 días está entre los más cortos a nivel nacional, su definición de información personal está entre las más amplias, y es uno de los pocos estados donde los consumidores individuales tienen un derecho de acción privada para demandar por infracciones de notificación.

El estatuto principal para las entidades privadas es RCW 19.255.010. Un estatuto paralelo, RCW 42.56.590, rige a las agencias gubernamentales estatales y locales. La ley se promulgó originalmente en 2005 y fue reforzada significativamente por el HB 1071, firmado por el gobernador Jay Inslee el 7 de mayo de 2019, con los nuevos requisitos vigentes desde el 1 de marzo de 2020.

Para una visión más amplia del marco de privacidad de Washington, consulte la guía principal de Leyes de Privacidad de Datos de Washington.

Quién Debe Cumplir

La ley de notificación de violaciones de Washington se aplica a cualquier persona o empresa que haga negocios en el estado y que posea o tenga licencia de datos computarizados que incluyan información personal sobre residentes de Washington.

No hay un umbral mínimo de tamaño. Cualquier empresa, sin importar su tamaño, que maneje información personal de residentes de Washington debe cumplir.

Las agencias gubernamentales a nivel estatal y local están cubiertas bajo el estatuto separado RCW 42.56.590, que impone obligaciones sustancialmente similares.

Los proveedores de servicios de terceros que mantienen datos en nombre de otra empresa deben notificar al propietario o titular de licencia de los datos inmediatamente después de descubrir una violación. El propietario de los datos entonces asume la responsabilidad de notificar al consumidor y al Fiscal General.

Qué Califica como Información Personal

La definición de información personal de Washington está entre las más amplias del país. Bajo RCW 19.255.005, la definición tiene tres ramas independientes, y solo la primera de ellas requiere el nombre del residente.

Rama uno: un nombre más un elemento de datos. El primer nombre o la inicial del primer nombre y el apellido de un residente, combinados con uno o más de los siguientes elementos:

• Número de Seguro Social
• Número de licencia de conducir o número de tarjeta de identificación de Washington
• Número de cuenta o número de tarjeta de crédito o débito, combinado con cualquier código de seguridad, código de acceso o contraseña requerido que permita el acceso a una cuenta financiera, o cualquier otro número o información que pueda usarse para acceder a una cuenta financiera
• Fecha de nacimiento completa
• Clave privada única de una persona y usada para autenticar o firmar un registro electrónico
• Número de identificación estudiantil, militar o de pasaporte
• Número de póliza de seguro de salud o número de identificación de seguro de salud
• Cualquier información sobre el historial médico de un consumidor o su condición mental o física, o sobre el diagnóstico o tratamiento médico de un profesional de la salud al consumidor
• Datos biométricos generados por mediciones automáticas de las características biológicas de una persona, como una huella dactilar, huella de voz, retinas, iris u otros patrones biológicos únicos usados para identificar a una persona específica

Rama dos: credenciales de cuenta, sin necesidad de nombre. Un nombre de usuario o dirección de correo electrónico combinado con una contraseña o preguntas y respuestas de seguridad que permitan el acceso a una cuenta en línea constituye información personal por sí solo. El nombre del residente no tiene que formar parte de los datos vulnerados.

Rama tres: esos mismos elementos de datos sin un nombre. Cualquiera de los elementos de datos de la rama uno, o cualquier combinación de ellos, sin el primer nombre o la inicial del primer nombre y el apellido del consumidor, si el cifrado, la redacción u otros métodos no los han vuelto inutilizables y permitirían a una persona cometer robo de identidad contra el consumidor.

La inclusión de la fecha de nacimiento, los números de identificación estudiantil, militar y de pasaporte, la información de seguro de salud y el historial médico hace que la lista de elementos de datos de Washington sea sustancialmente más amplia que la de la mayoría de los estados, y las ramas dos y tres amplían aún más la ley al eliminar el requisito de nombre que la mayoría de los estatutos estatales de violaciones de datos consideran obligatorio. Las enmiendas de 2019 a través del HB 1071 agregaron varias de estas categorías.

La información personal no incluye la información disponible públicamente que se pone legalmente a disposición del público en general a partir de registros gubernamentales federales, estatales o locales.

Qué Activa el Requisito de Notificación

Una violación del sistema de seguridad bajo la ley de Washington es la adquisición no autorizada de datos computarizados que compromete la seguridad, confidencialidad o integridad de la información personal mantenida por la entidad.

Deben cumplirse tres condiciones para que se requiera la notificación:

1. La información personal fue, o se cree razonablemente que fue, adquirida por una persona no autorizada
2. La información personal no estaba asegurada (es decir, no estaba cifrada ni de otro modo inutilizable)
3. Es razonablemente probable que la violación exponga a los consumidores a un riesgo de daño

El análisis de riesgo de daño otorga a las entidades cierta discreción, pero el estándar es si el daño es "razonablemente probable", no si ya ha ocurrido. La adquisición de buena fe de información personal por parte de un empleado o agente de la entidad no constituye una violación, siempre que la información no se use ni se divulgue de manera no autorizada.

El Plazo de Notificación de 30 Días

Washington exige la notificación en el tiempo más expedito posible y sin demora irrazonable, pero a más tardar 30 días después de que se descubrió la violación.

Este plazo de 30 días, introducido por el HB 1071, es uno de los más cortos del país. Antes de las enmiendas de 2019, el plazo era de 45 días.

El conteo comienza desde la fecha en que se descubrió la violación, no desde la fecha en que ocurrió la violación en sí. Sin embargo, las organizaciones no deben retrasar su investigación como una manera de evitar el plazo.

La aplicación de la ley puede solicitar un retraso en la notificación si esta impediría una investigación criminal. La entidad debe proporcionar la notificación con prontitud después de que la aplicación de la ley determine que la notificación ya no comprometerá la investigación.

Qué Debe Incluir el Aviso al Consumidor

La ley de Washington especifica el contenido requerido para las cartas de notificación de violaciones. Bajo RCW 19.255.010(6)(b), el aviso debe incluir los cuatro elementos siguientes:

• El nombre y la información de contacto de la persona o empresa que reporta
• Una lista de los tipos de información personal que fueron, o se cree razonablemente que fueron, objeto de la violación
• El marco de tiempo de la exposición, si se conoce, incluyendo la fecha de la violación y la fecha del descubrimiento de la violación
• Los números telefónicos gratuitos y las direcciones de las principales agencias de informes de crédito, si la violación expuso información personal

El elemento de las agencias de informes de crédito no se limita a datos financieros ni a números de Seguro Social. El estatuto lo condiciona a que la violación haya expuesto información personal, que es la misma condición que activa el requisito del aviso en primer lugar, por lo que en la práctica corresponde incluirlo en todo aviso al consumidor.

El aviso debe estar escrito en lenguaje sencillo. Más allá de esos cuatro elementos requeridos, se anima a las entidades, aunque no se exige estrictamente, a incluir también una descripción del incidente, las medidas tomadas para abordar la violación y recomendaciones para que los consumidores se protejan.

Notificación al Fiscal General

Cuando una violación afecta a más de 500 residentes de Washington, la entidad debe notificar a la oficina del Fiscal General de Washington dentro de la misma ventana de 30 días.

La notificación al Fiscal General se presenta a través de un Formulario Web de Notificación de Violaciones de Datos en línea. El aviso debe incluir:

• El número de consumidores de Washington afectados o potencialmente afectados
• Una lista de los tipos de información personal vulnerada
• El marco de tiempo de la exposición (si se conoce)
• Un resumen de las medidas tomadas para contener la violación
• Una copia de muestra de la notificación de violación de seguridad enviada a los consumidores

La oficina del Fiscal General mantiene un Directorio público de Notificaciones de Violaciones de Datos en su sitio web, que enumera todas las violaciones reportadas.

Notificación Sustituta

Washington permite la notificación sustituta cuando la notificación directa no es factible. Una entidad puede usar la notificación sustituta si:

• El costo de proporcionar notificación directa superaría los $250,000
• La clase afectada supera las 500,000 personas
• La entidad no tiene suficiente información de contacto

La notificación sustituta debe incluir todos los siguientes elementos: notificación por correo electrónico (si hay direcciones de correo electrónico disponibles), una publicación visible en el sitio web de la entidad, y notificación a los principales medios de comunicación estatales.

Refugio Seguro por Cifrado

Washington proporciona un refugio seguro por cifrado. Si la información personal estaba asegurada (cifrada, redactada o de otro modo inutilizable) en el momento de la violación, no se requiere notificación.

La definición de "asegurada" significa cifrada de una manera que cumple o supera el estándar del Instituto Nacional de Estándares y Tecnología (NIST), o modificada de otro modo de manera que la información personal se vuelve ilegible, inutilizable o indescifrable por una persona no autorizada.

Si la clave de cifrado también fue comprometida en la violación, el refugio seguro no aplica.

Interacción con Regulaciones Federales

Washington aborda la superposición con leyes federales en RCW 19.255.030, y las dos vías que crea funcionan de manera diferente.

Bajo RCW 19.255.030(1), una entidad cubierta por HIPAA se considera en cumplimiento con todo el capítulo 19.255 respecto a la información de salud protegida si ha cumplido con la sección 13402 de la Ley federal HITECH. Esa entidad de todos modos debe notificar al Fiscal General de Washington, pero lo hace conforme al plazo de HITECH, expresamente sin perjuicio del plazo de 30 días de RCW 19.255.010(7).

Bajo RCW 19.255.030(2), una institución financiera regulada por la Oficina del Contralor de la Moneda, la Corporación Federal de Seguro de Depósitos, la Administración Nacional de Cooperativas de Crédito o el Sistema de la Reserva Federal se considera en cumplimiento con el capítulo respecto a la "información sensible del cliente" si notifica a los consumidores afectados conforme a los lineamientos interagenciales federales que establecen estándares de seguridad de la información. Esta vía no tiene una excepción equivalente al plazo estatal: el estatuto establece que la institución debe notificar al Fiscal General conforme a RCW 19.255.010, además de notificar a su regulador federal principal.

Una disposición separada y más limitada, RCW 19.255.010(5), cubre la política interna propia de una entidad en lugar de la ley federal. Una persona o empresa que mantiene sus propios procedimientos de notificación como parte de una política de seguridad de la información para el tratamiento de información personal, y que por lo demás es consistente con los requisitos de plazo de esa sección, cumple al notificar a las personas afectadas de acuerdo con esas políticas. Esto está condicionado a que los procedimientos propios de la entidad coincidan con el plazo estatutario, por lo que no es una vía hacia un plazo más largo.

Aplicación y Derecho de Acción Privada

La ley de notificación de violaciones de Washington se aplica bajo RCW 19.255.040. Esta sección divide la aplicación en dos vías distintas:

Aplicación por el Fiscal General: Bajo RCW 19.255.040(2), el Fiscal General puede iniciar una acción tratando una infracción como un acto injusto o engañoso en el comercio. El estatuto establece expresamente que una acción para hacer cumplir el capítulo no puede presentarse bajo RCW 19.86.090, la disposición general de acción privada de la Ley de Protección al Consumidor. El Fiscal General puede buscar medidas cautelares, sanciones civiles y restitución.

Derecho de Acción Privada: RCW 19.255.040(3)(a) otorga a los consumidores su propio remedio independiente, separado de la vía general de la Ley de Protección al Consumidor: cualquier consumidor perjudicado por una infracción del capítulo puede iniciar una demanda civil para recuperar daños. Debido a que el estatuto prohíbe canalizar una reclamación del capítulo a través de RCW 19.86.090, el multiplicador de daños triples, el límite de $25,000 y la disposición de honorarios de abogados que aplican a las reclamaciones generales de la Ley de Protección al Consumidor no aplican automáticamente a esta acción. El propio texto del estatuto autoriza la recuperación de:

• Daños reales sufridos

Este derecho de acción privada sigue haciendo que Washington sea uno de los estados más favorables para los demandantes en materia de aplicación de notificación de violaciones, ya que la mayoría de los estados no otorgan a los consumidores ningún derecho a demandar. Los consumidores no necesitan esperar a que actúe el Fiscal General; pueden presentar reclamos de manera independiente.

Requisitos para Agencias Gubernamentales

Las agencias gubernamentales estatales y locales en Washington están reguladas por RCW 42.56.590, que refleja los requisitos del sector privado. Las agencias gubernamentales deben:

• Notificar a los residentes afectados dentro de 30 días del descubrimiento
• Notificar al Fiscal General cuando se ven afectados más de 500 residentes
• Proporcionar el mismo contenido en sus cartas de notificación

Las agencias gubernamentales también pueden retrasar la notificación a los consumidores afectados hasta 14 días adicionales más allá del plazo de 30 días, para permitir que el aviso se traduzca al idioma principal de los consumidores afectados, conforme a RCW 42.56.590(8).

Más Leyes de Washington

• Leyes de Grabación con IA en Reuniones de Washington
• Leyes de Pensión Alimenticia de Washington
• Leyes de Empleo a Voluntad de Washington
• Leyes de Accidentes de Auto de Washington
• Leyes de Asientos para Auto de Washington
• Leyes de Custodia de Menores de Washington
• Leyes de Manutención Infantil de Washington
• Leyes de Matrimonio de Hecho de Washington
• Leyes de Deepfake de Washington
• Leyes de Divorcio de Washington
• Leyes de Choque y Fuga de Washington
• Leyes de Emancipación de Washington
• Leyes de Eliminación de Antecedentes de Washington
• Leyes de Choque y Fuga de Washington
• Leyes de Propietarios e Inquilinos de Washington
• Leyes del Limón de Washington

Preguntas frecuentes

¿Con qué rapidez debe una empresa de Washington notificar a los consumidores de una violación de datos?

Washington exige la notificación dentro de 30 días de descubrir una violación de datos. Este plazo se redujo de 45 a 30 días por el HB 1071, vigente desde el 1 de marzo de 2020. El conteo comienza desde la fecha en que se descubrió la violación, no desde la fecha en que ocurrió la violación en sí. La aplicación de la ley puede solicitar un retraso si la notificación impediría una investigación criminal.

¿Cuándo debe notificarse al Fiscal General de Washington sobre una violación de datos?

Las entidades deben notificar al Fiscal General de Washington dentro de 30 días cuando una violación afecta a más de 500 residentes de Washington. La notificación se presenta a través de un formulario web en línea en el sitio web del Fiscal General. El aviso debe incluir el número de residentes afectados, los tipos de información personal comprometida, el marco de tiempo de la exposición, las medidas tomadas para contener la violación y una copia de muestra de la notificación al consumidor.

¿Pueden las personas demandar por infracciones de notificación de violaciones de datos en Washington?

Sí. Washington es uno de los pocos estados que otorga un derecho de acción privada por infracciones de notificación de violaciones. Bajo RCW 19.255.040(3)(a), un consumidor perjudicado por una infracción puede presentar una demanda civil para recuperar daños. Este es un remedio independiente: el estatuto establece expresamente que una acción para hacer cumplir el capítulo no puede presentarse bajo RCW 19.86.090, la disposición general de daños triples de la Ley de Protección al Consumidor, por lo que el límite de daños triples de $25,000 que aplica a otras reclamaciones de consumidores en Washington no aplica automáticamente a una demanda por notificación de violaciones.

¿Qué tipos de información personal están protegidos bajo la ley de notificación de violaciones de Washington?

Washington tiene una de las definiciones más amplias de información personal del país. RCW 19.255.005(2)(a) establece tres ramas. La primera es el nombre de un residente combinado con un elemento de datos como un número de Seguro Social, número de licencia de conducir, datos de cuenta financiera, fecha de nacimiento completa, número de identificación estudiantil, militar o de pasaporte, identificación de seguro de salud, historial médico o datos biométricos como una huella dactilar o un escaneo de retina. La segunda es un nombre de usuario o dirección de correo electrónico con una contraseña o respuestas a preguntas de seguridad, que cuenta por sí sola sin necesidad de un nombre. La tercera cubre esos mismos elementos de datos sin un nombre, cuando no fueron inutilizados y permitirían el robo de identidad. La definición fue ampliada significativamente por el HB 1071 en 2019.

¿La ley de notificación de violaciones de Washington se aplica a las agencias gubernamentales?

Sí. Washington tiene dos estatutos paralelos. RCW 19.255 cubre a las empresas e individuos privados, mientras que RCW 42.56.590 cubre a las agencias gubernamentales estatales y locales. Ambos imponen el mismo plazo de notificación de 30 días y los mismos requisitos de reporte al Fiscal General. Las agencias gubernamentales sí tienen una excepción que las empresas privadas no tienen: pueden retrasar la notificación al consumidor hasta 14 días adicionales para traducir el aviso al idioma principal de los consumidores afectados, conforme a RCW 42.56.590(8).