Plazos de Notificación de Brechas de Datos por País (Tabla Comparativa 2026)

Respuesta rápida

No existe un plazo mundial de notificación de brechas de datos. El GDPR de la Unión Europea estableció el punto de referencia con el que se compara la mayoría de las demás leyes: notificar al regulador dentro de las 72 horas de haber tomado conocimiento de una brecha, y notificar a las personas afectadas «sin dilación indebida» solo si la brecha representa un alto riesgo para sus derechos.

Muchos países copian la cifra de 72 horas para su propio tramo de aviso al regulador (South Korea, Philippines, Indonesia, el reglamento de aplicación de Saudi Arabia, Turkey, Kenya, Nigeria, Uruguay, y varias zonas francas de UAE). Casi la misma cantidad no lo hace: Switzerland, South África, Canada, el estatuto de New Zealand, Chile, la norma del sector de telecomunicaciones de Germany, y la mayoría de los países latinoamericanos de derecho civil usan lenguaje abierto como «sin dilación indebida», «tan pronto como sea viable» o «tan pronto como sea factible» en lugar de un número de horas fijo.

Un puñado de jurisdicciones no tiene, en términos prácticos, ninguna ley de notificación de brechas en este momento: Hong Kong (voluntaria), Argentina (sin obligación legal) y la obligación específica de protección de datos de India (promulgada pero aún no vigente). Las tablas a continuación presentan los dos plazos por separado para cada jurisdicción que pudimos verificar, y lo indican con claridad en todos los casos en que no existe un número fijo.

Cómo leer esta tabla

Cada fila a continuación se divide deliberadamente en dos columnas: el plazo para notificar al regulador y el plazo para notificar a las personas afectadas. Con frecuencia son relojes distintos, con activadores distintos, y confundirlos es el error más común en la cobertura de notificación de brechas. El GDPR es el ejemplo más claro: el activador del aviso al regulador es cualquier brecha que conlleve algún riesgo, mientras que el activador del aviso individual exige riesgo alto, una barra considerablemente más alta, y ese tramo individual no tiene ninguna cifra de horas fija.

«Sin plazo fijo» es una respuesta real e investigada correctamente, no un vacío en esta tabla. Cuando la ley de una jurisdicción dice «tan pronto como sea posible» o «sin dilación indebida» sin un número que lo acompañe, lo indicamos así en lugar de tomar prestado un número de la ley de otro país o de guía del regulador que nunca se incorporó a la ley.

También señalamos, cuando resulta relevante, si un plazo vive en la ley primaria, en un reglamento subordinado, o solo en guía no vinculante, y si un plazo ya promulgado está realmente vigente. Esas tres distinciones cambian cuánto peso debería darle un equipo de cumplimiento a un número, y la mayoría de las fuentes secundarias las colapsan en un único titular de «X horas» que borra la distinción por completo.

El ancla de las 72 horas del GDPR, en breve

La base de referencia de la UE/EEE proviene del Reglamento General de Protección de Datos, Artículos 33 y 34. Un responsable del tratamiento debe notificar a su autoridad de control competente «sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia» de una brecha, a menos que sea improbable que la brecha suponga un riesgo para los derechos y libertades de las personas. El aviso a las propias personas afectadas solo es obligatorio cuando es probable que la brecha suponga un riesgo alto, y ese tramo no tiene ninguna cifra de horas fija, solo «sin dilación indebida».

Esa estructura de dos niveles, una barra más baja y un reloj fijo para el regulador, una barra más alta y sin reloj fijo para las personas, es el patrón de diseño que la mayor parte del resto del mundo copia o del que se aparta deliberadamente. Para el recorrido completo por el propio texto del GDPR, sus excepciones e historial de aplicación, consulte nuestro análisis a fondo de la regla de notificación de brechas de 72 horas del GDPR.

Europa

Los estados de la UE/EEE comparten un mismo texto legal (el GDPR), de modo que la variación real en Europa proviene de los estados EEE-AELC que aplican el GDPR mediante incorporación nacional independiente, de estados fuera de la UE como Switzerland y United Kingdom que tienen sus propios estatutos posteriores al GDPR, y de superposiciones sectoriales que imponen relojes separados y más cortos. Las decisiones de adecuación de la UE también determinan, en primer lugar, cómo pueden moverse los datos de una brecha a través de estas fronteras.

Asia-Pacífico

Asia-Pacífico se divide aproximadamente en tres grupos: jurisdicciones que copian el reloj de 72 horas al regulador estilo GDPR (South Korea, Philippines, Indonesia, Malaysia), jurisdicciones con plazos basados en días o en evaluación (Japan, Singapore, Australia), y jurisdicciones sin ningún número fijo (el estatuto de New Zealand, Hong Kong, la ley vigente de Taiwán).

Medio Oriente y África

Esta región tiene la brecha más amplia entre lo que reportan los blogs de cumplimiento y lo que realmente dice el instrumento legal subyacente. Varias cifras de «72 horas» aquí solo existen en guía o en un reglamento sub-legal, no en la ley primaria, y al menos dos jurisdicciones (South África, Morocco) deliberadamente no fijan ningún plazo numérico.

Las Américas

Los estatutos de protección de datos de derecho civil de Latinoamérica en su mayoría usan lenguaje abierto para la ley primaria, con relojes numéricos fijos apareciendo en reglamentos de ejecución, decretos o resoluciones, un nivel por debajo de la ley misma. Dos excepciones estructurales, Argentina (sin obligación legal) y Chile (una genuina confusión entre dos leyes), son los errores más citados de la región.

Conceptos erróneos comunes

«Chile son 72 horas». No. La ley de protección de datos de Chile, 21.719, no fija ninguna hora para la notificación de brechas, solo «el medio más expedito posible, sin dilación indebida». La cifra de 72 horas que se le atribuye a Chile en todas partes en realidad pertenece a un estatuto separado, la Ley Marco de Ciberseguridad (21.663), que rige los ciberataques contra servicios esenciales reportados a un regulador distinto, el CSIRT Nacional, no las brechas de datos personales en general. Tratar estas dos como la misma ley es el error sobre Chile más repetido.

«La regla de telecomunicaciones de Germany son 24 horas». Parcialmente correcto, y la parte incorrecta es la atribución de la fuente, no el número. La Sección 169 de la Telecommunications Act (TKG) usa únicamente «unverzüglich», sin dilación indebida, sin ninguna cifra numérica en el texto de la ley, por lo que un proveedor que solo lea la TKG no encontrará las 24 horas ahí. Pero las 24 horas son reales y vinculantes: el Reglamento (UE) N.º 611/2013, Artículo 2(2), se aplica directamente en todos los estados miembros, incluida Germany, a los proveedores de servicios de comunicaciones electrónicas disponibles al público, y exige notificar a la autoridad nacional competente «a más tardar 24 horas después de la detección de la brecha de datos personales, cuando sea factible». El error está en atribuir la cifra a la TKG, no en la cifra en sí.

«Ecuador son 72 horas al regulador, 3 días a las personas» o «3 días al regulador». Ambas formulaciones comunes lo invierten o confunden los tramos. La LOPDP de Ecuador fija 5 días hábiles para la Superintendencia y ARCOTEL (Art. 43), y un reloj más corto de 3 días hábiles para la persona (Art. 46), el orden opuesto al que usan la mayoría de las leyes de brechas (regulador y luego persona).

«Todos usan 72 horas». No. Una parte considerable de las jurisdicciones en esta matriz no fija ninguna cifra de horas para al menos un tramo: South África, Switzerland, Canada, el propio estatuto de New Zealand (las 72 horas que verá citadas son guía del Privacy Commissioner, no la Ley), Morocco, Ghana, el DIFC, Israel, y la ley de protección de datos de Chile, todas usan estándares abiertos como «tan pronto como sea razonablemente posible» o «sin dilación indebida» en su lugar.

Guía no es ley. La cifra federal de 72 horas de la UAE es guía operativa de la Data Office; los Reglamentos de Ejecución que codificarían un número nunca se emitieron formalmente. Las 72 horas de New Zealand son la propia guía del Privacy Commissioner, etiquetada explícitamente como «solo una guía». Las 72 horas de Quebec son una abreviatura de la CAÍ/industria para una ley que en realidad solo dice «con prontitud».

Promulgada no es lo mismo que vigente. El reloj de 72 horas para el aviso a la autoridad de Taiwán existe solo en una enmienda de diciembre de 2025 que espera reglamentos subordinados y una orden de entrada en vigor; la ley taiwanesa operativa hoy no tiene ningún plazo de aviso a una autoridad. La obligación de notificación de brechas de la DPDP de India está promulgada pero no entra en vigor hasta aproximadamente el 13 de mayo de 2027. Los Reglamentos de Ejecución de Egypt entraron en vigor el 1 de noviembre de 2025 pero llevan un período de gracia de un año hasta el 31 de octubre de 2026.

Hong Kong no tiene plazo legal porque no tiene requisito legal. La notificación de brechas en Hong Kong es completamente voluntaria bajo la PDPO; la guía del Privacy Commissioner que recomienda un aviso pronto no es vinculante.

Argentina no tiene ninguna obligación de notificación de brechas. La Ley 25.326 contiene una obligación general de seguridad pero ningún artículo de aviso de brechas. La recomendación de 72 horas de la AAIP es exactamente eso, una recomendación, no un requisito legal.

Kuwait: no debe publicarse ningún número. Fuentes secundarias confiables entran en conflicto directo entre 24 horas y 72 horas para el mismo reglamento (Regulation No. 26 of 2024, Art. 4(15)), y el reglamento tiene un alcance limitado a los proveedores de telecomunicaciones y TI licenciados por la CITRA, no una ley que abarque toda la economía.

Superposiciones sectoriales: reglas que se suman a la ley general

Varios regímenes imponen sus propios relojes de brechas o incidentes, a menudo más cortos, a sectores específicos, que se superponen (no reemplazan) al plazo general de protección de datos que ya se aplica.

• Directiva NIS2 (EU 2022/2555), Art. 23. se aplica a entidades «esenciales» e «importantes»: infraestructura crítica, infraestructura digital, salud, energía y sectores similares, no a responsables en general. Una cascada de tres etapas: una alerta temprana dentro de 24 horas, una notificación completa del incidente dentro de 72 horas, y un informe final dentro de un mes.
• DORA (EU 2022/2554), Art. 20 y sus normas técnicas de ejecución. se aplica al sector financiero: bancos, aseguradoras, firmas de inversión y proveedores críticos de TIC de terceros. Confirmado directamente en las Normas Técnicas de Regulación: un informe inicial dentro de 4 horas de clasificar un incidente como mayor (y en todo caso dentro de 24 horas de tener conocimiento), un informe intermedio dentro de 72 horas, y un informe final dentro de un mes.
• Reglamento eIDAS (EU 910/2014), Art. 19(2). los prestadores de servicios de confianza (firma electrónica, sello electrónico, proveedores de autenticación de sitios web) deben notificar a su organismo de supervisión nacional dentro de 24 horas, separado de la vía de 72 horas del GDPR, y esta obligación también se aplica en el United Kingdom mediante su régimen eIDAS retenido.
• Reglamento sectorial de ePrivacy de la UE (611/2013). los proveedores públicos de comunicaciones electrónicas en toda la UE notifican a su regulador nacional de telecomunicaciones dentro de 24 horas cuando sea factible, la regla a nivel de toda la UE que subyace al ejemplo de la TKG de Germany mencionado arriba.
• HIPAA (datos de salud de US), 45 CFR Sec. 164.404. las entidades cubiertas deben notificar a las personas afectadas sin demora injustificada y a más tardar 60 días calendario después del descubrimiento. Las brechas que afectan a 500 o más personas también requieren notificar a HHS y, en muchos casos, a los principales medios locales, en el mismo reloj de 60 días; las brechas más pequeñas se registran y se reportan a HHS anualmente.
• SEC, Ítem 1.05 del Form 8-K (empresas públicas de US). divulga un incidente de ciberseguridad material dentro de 4 días hábiles de determinar la materialidad, no desde el descubrimiento del incidente en sí. El reloj comienza en la determinación de materialidad, la cual debe hacerse «sin demora injustificada».
• Divergencia CERT versus autoridad de protección de datos, el ejemplo más marcado en toda esta matriz: India. La regla de incidentes de ciberseguridad de 6 horas de CERT-In está vigente y es vinculante hoy. La obligación de brecha específica de protección de datos de la DPDP Act, con su propio «sin demora» más un informe de 72 horas al Board, está promulgada pero no entra en vigor hasta aproximadamente el 13 de mayo de 2027. Una empresa india que enfrenta una brecha en este momento está sujeta al reloj de 6 horas de CERT-In, no a ningún número de la DPDP, sin importar cuántas veces se reporte «el plazo de brecha de India» como 72 horas.

United States: resumen estado por estado

No existe una única ley federal de notificación de brechas de datos en US. Los 50 estados, DC y los territorios de US tienen sus propios estatutos, y el sitio mantiene una página completa para cada uno en /us-laws/data-privacy-laws/{state}-data-privacy-laws/data-breach-notification/. Esta sección resume el patrón en lugar de repetir 51 filas.

El estándar más común no es un número fijo. La mayoría de los estados usan un estándar de «sin demora injustificada» o «el tiempo más expedito posible», a veces combinado con un número tope como respaldo.

Cuando los estados sí fijan un tope numérico, este se agrupa en el rango de 30-45-60 días. Washington exige el aviso dentro de 30 días calendario (RCW 19.255.010), y Florida fija la misma cifra de 30 días con una extensión de 15 días disponible por causa justificada, lo que hace que el tope práctico sea de 45 días. Colorado también usa 30 días, con un umbral más bajo de 500 residentes para el aviso al AG (Fiscal General) y un umbral separado de 1,000 residentes para notificar a las agencias de reporte crediticio a nivel nacional.

Texas es la excepción que vale la pena nombrar específicamente, porque no encaja en el patrón que la mayoría de los agregadores asume. Texas le da a las personas 60 días para ser notificadas, pero exige el aviso al Texas Attorney General dentro de un plazo mucho más corto de 30 días cuando se ven afectados 250 o más residentes de Texas; el reloj del AG, no el del consumidor, es el corto.

Los umbrales de notificación al AG o al regulador se activan más comúnmente en 500 residentes (Florida, Washington y muchos otros) o 1,000 residentes (usado tanto como activador independiente de aviso al AG en algunos estados como umbral separado para agencias de reporte crediticio en Colorado).

Las reglas sectoriales federales llenan parte del vacío donde no existe una ley federal general: la regla de 60 días de HIPAA para datos de salud y la regla de 4 días hábiles de la SEC para empresas públicas (ambas detalladas arriba), además de la FTC Safeguards Rule, que exige que las instituciones financieras no bancarias notifiquen a la FTC, no a los consumidores, dentro de 30 días de descubrir una brecha que afecte la información sin cifrar de 500 o más consumidores. Esa regla de la FTC es únicamente hacia el regulador; el aviso al consumidor sigue dependiendo de la ley estatal aplicable.

Guía práctica de cumplimiento

Identifique ambos tramos por separado, para cada jurisdicción en la que opere. Un plan de respuesta a brechas que rastrea solo «el plazo» de un país, en lugar del plazo al regulador y el plazo individual como dos relojes distintos con dos activadores distintos, fallará en el momento en que esos dos relojes diverjan, lo cual es la norma, no la excepción, en toda esta matriz.

Inicie el reloj de cada jurisdicción desde «tener conocimiento», no desde «confirmado». La mayoría de los estatutos anteriores miden desde el momento en que el responsable tuvo conocimiento, o tuvo motivos razonables para creer, que ocurrió una brecha, no desde que concluyó la investigación. Esperar a tener certeza total antes de iniciar el reloj es una de las formas más comunes en que las organizaciones incumplen un plazo de 72 horas.

Verifique si el número en el que se está apoyando está en la ley primaria, en un reglamento subordinado, o en guía, y si realmente ya entró en vigor. Esta matriz señala cada caso en que esas tres cosas divergen: Chile, Germany, la UAE, New Zealand, Quebec, Taiwán, India y Egypt tienen al menos una cifra comúnmente citada que resulta ser guía, una ley distinta, o que aún no está vigente.

Cuando una jurisdicción no fija un número fijo, «tan pronto como sea posible» sigue siendo un estándar exigible, no una invitación a demorar. Los reguladores en jurisdicciones sin plazo fijo, entre ellos el FDPIC de Switzerland y el Information Regulator de South África, evalúan activamente si la demora en sí fue razonable dados los hechos, incluso sin un conteo de horas claro contra el cual medir.

Las brechas multinacionales activan simultáneamente el reloj aplicable más corto en cada jurisdicción afectada. Una brecha que afecta a titulares de datos de la EU, India y US al mismo tiempo está sujeta a las 72 horas del GDPR, las 6 horas de CERT-In, y las reglas estatales y sectoriales de US que apliquen, de forma concurrente, no secuencial. Construya el plan de respuesta en torno al reloj más corto de la combinación, no al promedio.

Preguntas frecuentes

¿Son las 72 horas el estándar global para la notificación de brechas de datos?

No. Es la cifra más copiada, originada en el GDPR de la EU, pero una parte considerable de los países de esta matriz, incluidos Switzerland, South África, Canada, el propio estatuto de New Zealand, y la ley de protección de datos de Chile, no fijan ninguna cifra de horas. Otros usan números completamente distintos, como los 3 días hábiles de Brazil o las 48 horas de Perú.

¿Por qué se sigue citando a Chile como un país de 72 horas?

La Ley Marco de Ciberseguridad de Chile (21.663) sí fija un reloj de 72 horas, pero solo para ciberataques contra servicios esenciales, reportados al CSIRT Nacional. La ley de protección de datos real de Chile, la 21.719, no fija ninguna hora para las brechas de datos personales, solo «el medio más expedito posible, sin dilación indebida». Los agregadores frecuentemente atribuyen erróneamente el número de la ley de ciberseguridad a la ley de protección de datos.

¿Es correcta la regla de 24 horas comúnmente citada para las telecomunicaciones en Germany?

El número es correcto, la atribución generalmente no lo es. La Sección 169 de la Telecommunications Act (TKG) de Germany usa únicamente «unverzüglich», sin dilación indebida, sin ninguna cifra numérica en el texto de la ley. El reloj de 24 horas proviene en cambio de la ley de la EU directamente aplicable: el Reglamento (UE) N.º 611/2013, Artículo 2(2), exige que los proveedores de servicios de comunicaciones electrónicas disponibles al público notifiquen a la autoridad nacional competente «a más tardar 24 horas después de la detección de la brecha de datos personales, cuando sea factible». Un proveedor de telecomunicaciones alemán sí enfrenta un plazo vinculante de 24 horas, simplemente no está escrito en la TKG.

¿Cuál es la diferencia entre el plazo de notificación al regulador y el plazo de notificación individual?

Por lo general son dos relojes separados con dos activadores separados. Bajo el GDPR, por ejemplo, el regulador debe ser notificado de cualquier brecha que conlleve algún riesgo dentro de 72 horas, mientras que las personas solo necesitan ser notificadas, sin cifra de horas fija, si la brecha representa un riesgo alto, una barra considerablemente más alta. Muchas otras jurisdicciones siguen una división similar, y confundir los dos tramos es el error más común en la cobertura de notificación de brechas.

¿Qué países no tienen ningún plazo legal para la notificación de brechas?

South África, Switzerland, Canada, New Zealand (por ley; una cifra de 72 horas existe solo en guía no vinculante del regulador), Morocco y Ghana no fijan ninguna cifra de horas o días en su ley vigente. Hong Kong va más allá: la notificación de brechas en sí es completamente voluntaria. Argentina no tiene ninguna obligación legal de notificación de brechas, solo una recomendación no vinculante del regulador.

¿Está vigente ahora mismo la norma de notificación de brechas de protección de datos de India?

Todavía no. La obligación de notificación de brechas de la DPDP Act, incluido su informe detallado de 72 horas al Data Protection Board, se publicó en la gaceta el 13 de nov. de 2025 pero no entra en vigor hasta aproximadamente el 13 de mayo de 2027. Lo que sí vincula hoy a las entidades indias es un régimen de ciberseguridad separado, la regla de reporte de incidentes de 6 horas de CERT-In bajo la IT Act, vigente desde 2022. Son dos regímenes distintos y nunca deberían reportarse como una sola cifra de «el plazo de brecha de India».

¿El reloj de 72 horas de Malaysia corre desde que ocurrió la brecha o desde que se descubrió?

El texto de la propia circular (Pekeliling N.º 2/2025, s.4(4)) dice «dentro de 72 horas desde la brecha de datos personales», un lenguaje que apunta a la ocurrencia y no al descubrimiento, mientras que la s.4(1) enmarca por separado la obligación subyacente como «tan pronto como sea factible». La Guideline detallada propia del Comisionado sobre este punto no fue verificada de forma independiente para esta página, así que trate el inicio exacto del reloj con cierta cautela y confirme la guía vigente de JPDP antes de basarse en ella para un plazo de cumplimiento real.

¿Tiene United States un único plazo federal de notificación de brechas de datos?

No. No existe una ley federal general de notificación de brechas. Los 50 estados, DC y los territorios de US fijan sus propios plazos, más comúnmente «sin demora injustificada» con un respaldo opcional de 30-60 días. Las reglas sectoriales federales cubren parte del vacío para industrias específicas: HIPAA le da a las entidades cubiertas 60 días para brechas de datos de salud, y la SEC exige que las empresas públicas divulguen incidentes de ciberseguridad materiales dentro de 4 días hábiles de determinar la materialidad.

¿Por qué Kuwait y Bahrain no tienen un plazo publicado en esta matriz?

Para Kuwait, fuentes secundarias confiables entran en conflicto directo, algunas citan 24 horas y otras 72 horas, para el mismo reglamento, y no pudimos resolver el conflicto contra un texto primario. Para Bahrain, la Ley primaria de protección de datos no contiene ningún artículo de notificación de brechas; cualquier cifra de 72 horas vive únicamente en una Resolution de 2022 que no pudo localizarse como documento primario verificable. Publicar un número inventado en cualquiera de los dos casos sería menos preciso que declarar el vacío honestamente.