Esta Alerta Legal es la segunda de la serie del bufete por el Mes de la Concienciación sobre Ciberseguridad; la primera, sobre la estrategia cibernética no clasificada del FBI, se publicó en inglés el 19 de octubre.
Las empresas que custodian información personal de residentes de Puerto Rico están sujetas a uno de los términos de notificación a un regulador más cortos de Estados Unidos: el aviso al Departamento de Asuntos del Consumidor (“DACO”) dentro de los 10 días de detectada la violación de seguridad, sin posibilidad de prórroga. Las empresas que proveen servicios de tecnología de información o de comunicaciones al Gobierno de Puerto Rico enfrentan un término aún más corto, 48 horas, bajo la Ley Núm. 40-2024. Como los requisitos federales sectoriales aplican en Puerto Rico igual que en cualquier estado, un solo incidente puede activar estas dos obligaciones de Puerto Rico junto a deberes federales de notificación en banca, valores, salud e infraestructura crítica. En esta Alerta Legal resumimos los requisitos de Puerto Rico, los ubicamos dentro del marco federal e identificamos consideraciones prácticas para las empresas que actualizan sus planes de respuesta a incidentes.
Trasfondo: la Ley Núm. 111-2005
La Ley Núm. 111-2005, Ley de Información al Ciudadano sobre la Seguridad de Bancos de Información, 10 L.P.R.A. sec. 4051 et seq. (la “Ley”), es el estatuto de notificación de violaciones de seguridad de Puerto Rico. La administra el DACO, que la ha implantado mediante el Reglamento Núm. 7207.[1] La Ley aplica a toda entidad que sea dueña o custodie un banco de información con información personal de residentes de Puerto Rico, sin importar dónde esté ubicada la entidad.
La definición de “información personal” de la Ley es notablemente amplia. Cubre el nombre de una persona en combinación con su número de seguro social, su licencia de conducir u otro número de identificación gubernamental, un número de cuenta financiera o de tarjeta de pago, o sus credenciales de acceso. Alcanza además la información contributiva, la información médica protegida bajo HIPAA y las evaluaciones de trabajo.[2] En consecuencia, expedientes de nómina y de personal que no activarían una notificación bajo muchos estatutos estatales pueden activarla bajo la Ley.
Los requisitos de notificación
Aviso al DACO. La entidad que detecta una violación de seguridad debe notificar al DACO dentro de los 10 días. El término no admite prórroga. El DACO, a su vez, publica el aviso dentro de las 24 horas de recibirlo. La consecuencia práctica es que un incidente que afecta a residentes de Puerto Rico se convierte en asunto de conocimiento público a más tardar al décimo día de la detección, con independencia de la estrategia de divulgación de la empresa.
Aviso a los residentes afectados. Los residentes afectados deben ser notificados “de la forma más expedita posible”, sujeto a la pausa que proceda cuando las autoridades del orden público determinen que el aviso entorpecería una investigación. El aviso debe ser claro y conspicuo, describir la violación en términos generales e identificar las categorías de información afectadas, e incluir un número telefónico libre de cargos y una dirección electrónica.[3] Se permite el aviso sustituto, por correo electrónico, publicación en la página de la entidad y medios de comunicación, cuando el costo del aviso directo excedería $100,000 o los afectados excederían 100,000 personas. La información cifrada queda fuera del estatuto, siempre que la clave de cifrado no haya sido comprometida.
Penalidades y responsabilidad civil. El DACO puede imponer multas administrativas de $500 a $5,000 por violación, y la Ley preserva expresamente los remedios civiles.[4] En la práctica, los avisos a residentes de Puerto Rico se emiten en español o en formato bilingüe.
La Ley Núm. 40-2024: el aviso de 48 horas para los proveedores del Gobierno
La Ley Núm. 40-2024, Ley de Ciberseguridad del Gobierno de Puerto Rico, según enmendada por la Ley Núm. 140-2026 (la “Ley de Ciberseguridad”), establece estándares mínimos de ciberseguridad para las agencias del Gobierno de Puerto Rico y para los proveedores privados que hacen negocios con ellas.[5] La administra PRITS a través de un Principal Oficial de Seguridad Cibernética del Gobierno.
Bajo el Artículo 7, los proveedores contratados de tecnología de información y comunicaciones deben notificar a PRITS y a la agencia contratante dentro de las 48 horas de descubierto un incidente. El Artículo 10 dispone que el proveedor hallado responsable de obstrucción, negligencia o mala fe en el manejo de un ataque queda sujeto a penalidades de hasta el monto del contrato más daños, y a una prohibición de cinco años para contratar y subcontratar con el Gobierno.[6] Para los proveedores del Gobierno de Puerto Rico, el requisito de 48 horas será de ordinario la primera obligación de notificación en cualquier incidente.
La capa federal
Los requisitos federales de ciberseguridad y privacidad aplican en Puerto Rico como aplican en cualquier estado. El resultado es un conjunto de obligaciones en capas que corren de forma concurrente con los términos de Puerto Rico descritos arriba.
Rasgos comunes y sus consecuencias
Cada uno de estos términos corre desde la detección, el descubrimiento o una determinación, no desde que concluye la investigación forense. La empresa que posponga las decisiones de notificación hasta que el informe forense sea final habrá agotado, en la mayoría de los casos, los términos del DACO y de PRITS. Los estatutos contemplan avisos que digan lo que se sabe y lo que sigue bajo investigación; no contemplan la demora en aras de la certeza. Tampoco los suspende acudir a las autoridades del orden público: como discutimos en nuestro Legal Update del 17 de octubre de 2026, la pausa por razón de una investigación bajo la Ley Núm. 111-2005 alcanza el aviso a las personas afectadas, no el aviso al DACO.
Dos rasgos adicionales merecen atención. Primero, la jurisdicción aplicable la determina la residencia de las personas afectadas, no la ubicación de la sede o de los servidores de la empresa; una empresa sin presencia física en Puerto Rico puede, no obstante, deberle un aviso al DACO. Segundo, la práctica del DACO de publicar en 24 horas significa que el contenido y el momento del aviso al regulador moldearán el relato público del incidente, lo que aconseja coordinar el aviso al DACO, el aviso a los residentes y cualquier declaración pública antes de enviar el primero de ellos.
Implicaciones prácticas para las empresas
Las empresas deben considerar lo siguiente:
Continuaremos dando seguimiento a estos desarrollos, incluida la publicación de la regla final de CIRCIA, y publicaremos actualizaciones según se justifique. Si tiene preguntas sobre los asuntos tratados en esta Alerta Legal, puede comunicarse con los abogados de MZLS con quienes trabaja regularmente.
Notas
Esta publicación ofrece información general sobre desarrollos jurídicos de interés para los clientes y amigos de Maceira Zayas (MZLS). No es un tratamiento exhaustivo de la materia ni constituye asesoría legal. El lector debe consultar a su abogado antes de actuar sobre cualquier asunto aquí tratado. Los desarrollos posteriores a la fecha de esta Alerta Legal no están reflejados.
