Year: 2026

Una Agencia de Puerto Rico Expuso 1 Millón de Números de Seguro Social y Dijo Que No Pasó Nada. ¿Qué Harías Tú Si Esto Le Pasa a Tu Negocio?

Posted by Jaime Farrant on with 0 Comment

¿Puede una agencia gubernamental simplemente decidir que una exposición de datos no cuenta como una violación de seguridad — y desentenderse de sus deberes de notificación por esa decisión? Esto es precisamente lo que está ocurriendo actualmente en Puerto Rico. Periodistas investigativos del Centro de Periodismo Investigativo y ProPublica recientemente publicaron un artículo donde informaron que el CRIM (el Centro de Recaudación de Ingresos Municipales de Puerto Rico) tenía una brecha de seguridad en su herramienta pública de mapeo de propiedades, el Catastro Digital, que permitía que cualquier persona que entendiera cómo el sitio solicitaba datos pudiera descargar información personal sin protección — incluyendo los números de Seguro Social de aproximadamente 1 millón de personas — sin necesitar nunca un nombre de usuario o contraseña.

Los periodistas notificaron directamente al CRIM a mediados de junio, con detalles específicos sobre el servidor y las carpetas exactas involucradas. El director ejecutivo del CRIM negó públicamente que hubiera ocurrido alguna violación de seguridad, dijo que la agencia no notificaría a los ciudadanos afectados porque ninguna información protegida estaba “en riesgo,” y — por separado — nunca reportó el incidente al Negociado de Innovación y Tecnología de Puerto Rico (“PRITS”), la agencia de ciberseguridad del gobierno de Puerto Rico, a pesar de un requisito legal de hacerlo. Sea cual sea la posición que finalmente adopte el CRIM, este es un caso de estudio real y útil sobre lo que exigen las leyes de Puerto Rico cuando se expone información personal — y lo que ocurre cuando una entidad entiende que esto no ocurrió.

Aquí Aplican 2 Leyes de Puerto Rico Que Apuntan en Direcciones Diferentes

Esta historia es una buena ilustración de algo que vale la pena entender claramente: Puerto Rico tiene dos estatutos separados que regulan incidentes como éste, y no conducen al mismo lugar.

  1. La Ley de Ciberseguridad de Puerto Rico, Ley Número 40 del 18 de enero de 2024 (“Ley 40”) — La Ley 40 aplica a agencias gubernamentales y contratistas del gobierno. El CRIM es una agencia gubernamental, por lo que esta obligada a cumplir con la Ley 40: establecer estándares mínimos de ciberseguridad, realizar evaluaciones de riesgo anuales obligatorias, y — central a esta historia — establecer un protocolo que requiere que las agencias informen a PRITS (el Negociado de Innovación y Tecnología de Puerto Rico) sobre cualquier incidente de seguridad sospechoso. Según CPI y ProPublica, el CRIM no hizo esto en este caso.
  2. La Ley 111 de 2005 (la Ley de Notificación de Violaciones de Seguridad de Puerto Rico) — la ley de notificación de violaciones de seguridad cubierta en nuestra publicación anterior sobre Oriental y Evertec — aplica ampliamente. Su definición de “entidad” incluye agencias, juntas, comisiones e instrumentalidades de las tres ramas del gobierno de Puerto Rico, no solo negocios privados. Así que el CRIM, como agencia gubernamental, parece estar tan cubierto por la Ley 111 como lo estuvo Oriental Bank. El disparador de la ley — acceso no autorizado a un archivo de información personal que contenga un nombre junto con un número de Seguro Social, legible sin cifrado especial — corresponde directamente con lo que se reporta ocurrió aquí.

Estos estatutos difieren en cuanto a que agencia tiene jurisdicción en caso que ocurra una violación. Bajo el Artículo 7 de la Ley 111, cuando ocurre una violación de seguridad en una agencia gubernamental o corporación pública, la jurisdicción no recae en el DACO (la agencia que atiende el caso de Oriental Bank y los que involucren entidades privadas), sino que va a la Oficina del Procurador del Ciudadano, quien está obligado a designar un procurador especializado para el caso. Esta es una vía de cumplimiento significativamente distinta a los casos del sector privado cubiertos anteriormente.

“Yo No Dirijo una Agencia Gubernamental. ¿Por Qué Debe Importarme Esto?”

Si eres dueño de un negocio y estás pensando “no soy una agencia gubernamental, así que esto no me aplica” — aquí hay algunas razones por las cuales esta historia sigue siendo directamente relevante para ti:

  • Si tienes contratos con el Gobierno de Puerto Rico, sus municipios, o corporaciones públicas, la Ley 40 puede aplicarte — el Artículo 2 de la Ley extiende sus requisitos de ciberseguridad a contratistas privados, pero únicamente con respecto a las funciones o servicios públicos que realices y a los datos generados a partir de esa relación con el gobierno, no a tu negocio en general. Si realizas cualquier trabajo de cara al gobierno, vale la pena saber exactamente dónde se traza esa línea en tus contratos.
  • “No creemos que sea una violación de seguridad” no es una estrategia de cumplimiento — es una apuesta. El disparador de notificación en la Ley 111 es el acceso no autorizado a información personal protegida, no la caracterización que la propia empresa (o agencia) haga del incidente. Si tu negocio adopta la posición de que una exposición “no cuenta,” estás haciendo un juicio legal que un regulador, un tribunal, o un periodista investigativo podrían no estar de acuerdo contigo en el futuro. Para ese momento, podrías estar expuesto a penalidades y reclamaciones civiles que pudieron evitarse.
  • Que un tercero descubra el problema es peor que descubrirlo tú mismo. El CRIM no descubrió esto — lo hicieron periodistas, le dieron detalles específicos a la agencia, y ésta lo neegó públicamente. Si la violación de seguridad de tu negocio es descubierta por un cliente, un competidor, o un periodista en lugar de tus técnicos de sistemas, la historia se convierte tanto en la respuesta como en el incidente mismo.
  • La exposición a través de proveedores o plataformas no se limita a “hackeos” evidentes. Esto no fue una intrusión sofisticada — fue una herramienta de cara al público que simplemente no protegió adecuadamente el acceso a la información personal subyacente. La misma categoría de riesgo existe en cualquier lugar donde un negocio exponga formularios, APIs, tableros, o reportes descargables al público sin verificar exactamente qué datos pueden realmente devolver esas herramientas.
  • Una respuesta pública lenta o defensiva agrava la exposición. Sea cual sea el resultado legal de este caso, el escrutinio reputacional y regulatorio que sigue a una negación — en lugar de una respuesta pronta y transparente — tiende a ser peor que el incidente subyacente, especialmente una vez que la historia ya es pública.

¿Está Tu Negocio Preparado Si Algo Similar le Sucede?

  • Trata la pregunta “¿es esto una violación de seguridad?” como un asunto legal, no de relaciones públicas. Analiza cualquier exposición a través de las definiciones reales de la Ley 111 y la Ley 40 antes de decidir si necesitas notificar una agencia o tus clientes — no según cómo pudiera verse el incidente en un titular de noticias.
  • Verifica qué información devuelven tus herramientas de cara al público, no sólo lo que muestran por defecto (“default”). Una interfaz de búsqueda que “no muestra” datos sensitivos en sus resultados normales aún puede exponer esos datos a través de la estructura subyacente de solicitud, exactamente como se reportó aquí.
  • Sepa qué regulador tiene jurisdicción antes de que ocurra un incidente. Los negocios privados responden ante el DACO; las agencias gubernamentales y corporaciones públicas responden ante el Procurador del Ciudadano. Conocer el proceso de antemano evita perder tiempo averiguándolo durante un incidente activo.
  • Determina cómo la Ley 40 podría aplicarte. Si alguno de tus negocios maneja datos como parte de sus obligaciones bajo un contrato con el gobierno de Puerto Rico, necesitas saber cómo — y si — esta ley alcanza esa parte específica de tu trabajo.
  • Construye un árbol de decisiones de notificación con anticipación, para que responder a la pregunta “¿fue esto una violación de seguridad?” no se decida de forma reactiva, bajo escrutinio, por quien sea que esté atendiendo las llamadas de la prensa ese día.

En Resumen

Esta historia es un ejemplo en tiempo real de lo que ocurre cuando una entidad pública o privada adopta la posición de que una exposición no es una violación de seguridad legalmente significativa, en lugar de analizar la situación a través de las leyes y reglamentos potencialmente aplicables. La ley de Puerto Rico no deja la respuesta a la pregunta “¿fue esto una violación de seguridad?” únicamente a la discreción de la entidad que posee los datos — la Ley 111 la define, la Ley 40 añade obligaciones separadas para las agencias gubernamentales y sus contratistas, y ninguno de los dos marcos desaparece sólo porque un ejecutivo diga que no pasó nada.

Para cualquier negocio — no sólo agencias gubernamentales — la lección es la misma que en nuestra publicación anterior: conoce tus obligaciones, conoce tu regulador, y no dejes que la primera vez que pienses seriamente sobre éstos sea el día en que un periodista llame preguntando por qué un millón de números de Seguro Social eran descargables desde tu página web sin una contraseña.

Si quieres asegurarte de que tu negocio cumpla con las leyes de seguridad de datos y notificación de violaciones de seguridad de Puerto Rico y Estados Unidos, reserva una consulta con nosotros hoy. Te ayudaremos a construir un árbol de decisiones, términos contractuales con proveedores, y un plan de acción antes de que un incidente te obligue a crear y ejecutar uno bajo presión.

[2026-07-16]

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

Oriental had 10 days to Notify a Breach to Regulators. Could your business – and its vendors – do the same?

Posted by Jaime Farrant on with 0 Comment

In May 2026, Evertec — a payment processor that handles data for banks across Puerto Rico — discovered that an unauthorized party accessed customer information through a third-party support platform, exposing card numbers and, in some cases, names, expiration dates, birth dates, and contact details. Oriental Bank confirmed some of its customers were affected, began notifying them through its mobile app, and started reissuing cards. Under Puerto Rico’s Data Breach Notification Act of 2005, once a breach like this is detected, the responsible parties have a non-extendable 10 days to inform DACO — Puerto Rico’s Department of Consumer Affairs — before the agency makes the matter public. Although 10 days might sound like enough time, take a few minutes to ask yourself: if a vendor you rely on got breached tomorrow, would you even find out in time to hit that deadline — and, does your business actually know who’s responsible for what, or would you be building that answer from scratch under pressure?

What Information is Covered under Puerto Rico’s Breach Notification Act?

If you or your business are Oriental Bank customers, you can go to their site to learn more about the incident and how to protect yourself.

Passed in 2005 to respond to identity theft cases, Law Number 111 of September 7, 2005, called Ley de Información al Ciudadano Sobre la Seguridad de Bancos de Información (translated literally as “Citizen Notification Act on the Security of Information Databases”) requires any entity that owns or holds a data bank (banco de información) containing personal information on Puerto Rico residents to notify those residents when the security of that system is breached. The law’s reach is broad by design: “entity” is defined to include virtually any corporation, partnership, or business operating in Puerto Rico, plus public and private educational institutions — which certainly isn’t limited to banks or financial services.

What counts as protected “personal information archive” under Law 111? 

Any record containing a name (or first initial plus surname) combined with any of the following, in a form that’s readable without a special cryptographic key — meaning a password alone doesn’t count as protection:

  • Social Security number.
  • Driver’s license, voter ID, or other official ID number.
  • Bank or financial account numbers of any kind (this is exactly what was exposed in the Evertec incident).
  • Usernames and passwords to public or private computer systems.
  • HIPAA-protected medical information.
  • Tax information.
  • Employment evaluations.

The Two-Tier Notification Chain

Law 111 sets up a structure that maps almost exactly what’s happening with Evertec and Oriental right now:

  • If your business resells or provides access to a digital data bank containing personal information on behalf of another entity, and that access is breached, you must notify the owner or custodian of that data — not the individual consumers directly.
  • If your business owns or holds the data itself, you must notify the affected residents directly once you learn (from your own systems or from a vendor) that a breach has occurred.

In the current case, Evertec — as the vendor providing the data processing — sits in the first category; Oriental Bank and other affected financial institutions, as the data owners with the direct customer relationship, sit in the second. That’s precisely the chain Law 111 anticipated: the vendor notifies the institution, the institution notifies the customer.

On the ground, this has looked like concrete remediation alongside notification: Oriental’s CEO has said the bank is proactively reissuing cards to affected customers, describing replacement as the most secure way to close out any risk, and has pointed customers to the bank’s mobile app as a direct channel to check whether their account was affected and what steps to take — including reviewing in-app notifications, using card lock/freeze controls, and monitoring transactions for anything unauthorized. 

Whatever the eventual full scope of the incident turns out to be, this is a useful real-world picture of what the response side of a Law 111 notification can look like in practice: a specific, accessible channel for customers to get answers, paired with an actual remediation step (card replacement) rather than notification alone.

The Deadlines Are Specific — and Short

  • Notification to affected residents must happen “as expeditiously as possible,” with allowance made for law enforcement’s need to secure evidence and for restoring system security.
  • Separately, and non-negotiably: the responsible parties must inform DACO (Puerto Rico’s Department of Consumer Affairs) within 10 days of detecting the breach — a deadline that Law 111 explicitly calls “non-extendable”.
  • Once DACO receives that information, it must make a public announcement within 24 hours.
  • The notice itself must be clear and conspicuous, describe the breach in general terms along with the type of sensitive information involved, and include a toll-free number or website for more information.
  • If direct notification would cost more than $100,000 or affect more than 100,000 people, the law allows substitute notice instead through a prominent posting at the business and on its website, plus notification to media outlets.

The Penalty — Up to $5,000 in fines, but Unlimited in the Courts

Under Article 10 of Law 111, DACO’s Secretary can impose fines of $500 to $5,000 per violation. However, this article also states that these fines don’t replace a consumer’s right to separately sue for damages in court. For a breach affecting thousands of cardholders like this one, the administrative fine will probalby be the least of their worries, as the aggregate exposure from private litigation is where the real financial risks will lie.

Why Should You Care about this?

  • This isn’t just a “big bank” law. Any business — for example, a medical office, a law firm, a retailer, a school — that holds a customer or client database containing names paired with social security numbers, account numbers, or login credentials is required to comply with Law 111.
  • Vendor breaches legally are your breaches. If a payment processor, cloud host, or vendor you use gets breached, Law 111’s chain means the notification obligation to your own customers may land on you, not just the vendor — so knowing which of your vendors hold this kind of data matters before an incident, not after.
  • The 10-day DACO clock is unforgiving. “Non-extendable” means exactly that. A business that doesn’t already have an incident-response plan mapping out who does what within that window is racing the clock for the first time during the worst possible moment.
  • Password protection alone doesn’t exempt you. Law 111 specifically requires something beyond a password — real encryption — before data falls outside the notification requirement. A lot of small businesses assume “password-protected” is enough. It isn’t, under this statute.

Is Your Business Prepared to Handle a Breach? Here Are a Few Things You Can Start Doing Today

  • Know exactly which of your vendors hold PR-resident personal data, and draft vendor contracts that require them to notify you immediately – ideally within 24 hours – of any breach. You will not be able to meet the 10-day DACO deadline if you’re the last to know.
  • Have a breach-notification plan ready before you need it — template notices, a designated point of contact, and a clear internal escalation path so the 10-day window isn’t spent figuring out who’s in charge.
  • Actually encrypt sensitive data, not just password-protect it — encryption is what takes a breach outside this law’s notification trigger in the first place.
  • Don’t assume “no evidence of misuse” ends the matter and avoids liability  — the notification duty is triggered by unauthorized access itself, not by proof that the data was actually misused.

The Bottom Line

The Evertec/Oriental situation is an unfortunate illustration of exactly the chain Puerto Rico lawmakers anticipated back in 2005: a vendor breach flowing through to bank notifications, DACO oversight, and public disclosure. Whatever the outcome of that specific case, the broader lesson holds for any business handling personal data of Puerto Rican residents: this law applies whether or not you’re a bank, the clock starts the moment you detect the breach, and “we didn’t know because our vendor didn’t tell us fast enough” isn’t a defense allowed by the law.

If you want to make sure your business complies with U.S. and Puerto Rico privacy and data-security laws — including having a breach-notification plan that actually meets Law 111’s deadlines — you can book an appointment with us today. We’re ready to help you map your data, your vendors, and your obligations before an incident forces you to learn them the hard way.

[2026-07-13]

About the Author

Jaime Farrant is admitted to practice law in Puerto Rico, New York, Maryland and the District of Columbia. This article is for informational purposes only and does not constitute legal advice or create an attorney-client relationship.

ADVERTISING MATERIAL. This article constitutes advertising as defined by the professional conduct rules in New York (22 NYCRR 1200.7.1 and 1200.7.3), Maryland (Rule 19-307.1 and 19-307.2), and the District of Columbia (D.C. Rules of Professional Conduct 7.1), and the Puerto Rico Rules of Professional Conduct (Rules 7.1-7.3). It is not solicitation of prospective clients known to need legal services in a particular matter. Instead, it is general information directed to the public about the practice of law and available legal services. No attorney-client relationship is created by your reading of this article or by contacting the author. Consult qualified counsel in each jurisdiction with specific situations.

Oriental Tuvo 10 Días para Notificar a los Reguladores Una Violación de Seguridad. ¿Podrían Tu Negocio — y Tus Proveedores — Hacer lo Mismo?

Posted by Jaime Farrant on with 0 Comment

En mayo de 2026, Evertec — una procesadora de pagos que maneja datos de bancos para todo Puerto Rico — descubrió que una parte no autorizada accedió a información de clientes a través de una plataforma de soporte de un tercero, exponiendo números de tarjetas y, en algunos casos, nombres, fechas de expiración, fechas de nacimiento y datos de contacto. Oriental Bank confirmó que algunos de sus clientes fueron afectados, comenzó a notificarles a través de su aplicación móvil, y empezó a reemplazar tarjetas. Bajo la Ley de Información al Ciudadano sobre la Seguridad de Bancos de Información de Puerto Rico de 2005, una vez se detecta una violación de seguridad como esta, las partes responsables tienen un plazo improrrogable de 10 días para informar al DACO — el Departamento de Asuntos del Consumidor de Puerto Rico — antes de que la agencia haga pública la situación. 

Aunque 10 días pueden sonar como tiempo suficiente, toma hoy unos minutos para preguntarte: si un proveedor del cual dependes sufriera mañana un hackeo o filtración de tus récords, ¿te enterarías a tiempo para cumplir con este plazo? Y, ¿tu negocio realmente sabe quién es responsable de qué, o estarías respondiendo a esta crisis bajo presión y sin saber que te requiere la ley?

Nota: Si tu o tu negocio son clientes de Oriental Bank, puedes ir a su página para conocer más del incidente e informarte sobre como proteger tus cuentas.

¿Qué Cubre Realmente la Ley de Notificación de Violaciones de Seguridad de Puerto Rico?

La Ley Número 111 del 7 de septiembre de 2005, llamada la “Ley de Información al Ciudadano sobre la Seguridad de Bancos de Información”, aprobada para responder a casos de robos de identidad, exige que toda entidad que sea dueña o custodia de un banco de información que contenga datos personales de residentes de Puerto Rico notifique a dichos residentes cuando la seguridad de ese sistema sea violada. El alcance de la ley es muy amplio: “entidad” se define para incluir prácticamente cualquier corporación, sociedad o negocio que opere en Puerto Rico, además de instituciones educativas públicas y privadas — ciertamente no se limita a bancos o servicios financieros.

¿Qué considera la Ley 111 como un “archivo de información personal” protegido? 

Cualquier expediente que contenga un nombre (o primera inicial más apellido) combinado con cualquiera de los siguientes datos, de forma legible sin necesidad de una clave criptográfica especial — es decir, una contraseña por sí sola no cuenta como protección.

Esto puede incluir:

  • Número de Seguro Social.
  • Número de licencia de conducir, tarjeta electoral u otra identificación oficial.
  • Números de cuentas bancarias o financieras de cualquier tipo (esto es exactamente la información expuesta en el incidente de Evertec).
  • Nombres de usuario y contraseñas de sistemas informáticos públicos o privados.
  • Información médica protegida por HIPAA.
  • Información contributiva.
  • Evaluaciones laborales.

La Cadena de Notificación de Dos Niveles

La Ley 111 establece una estructura que se asemeja casi exactamente a lo que está ocurriendo ahora mismo con Evertec y Oriental:

  • Si tu negocio revende o provee acceso a un banco de información digital que contiene información personal en nombre de otra entidad, y ese acceso es violado, debes notificar al dueño o custodio de esos datos — no directamente a los consumidores individuales.
  • Si tu negocio es dueño o custodio de los datos, debes notificar directamente a los residentes afectados una vez te enteres (por tus propios sistemas o por un proveedor) de que ha ocurrido una violación de seguridad.

En este caso, Evertec — como el proveedor que provee el procesamiento de datos — se ubica en la primera categoría; Oriental Bank y otras instituciones financieras afectadas, como los dueños de los datos y de la relación directa con el cliente, se ubican en la segunda. Esa es precisamente la cadena que la Ley 111 anticipó: el proveedor notifica a la institución, la institución notifica al cliente.

En la práctica, este proceso ha transcurrido de forma concurrente: el CEO de Oriental ha dicho que el banco está reemplazando proactivamente las tarjetas de los clientes afectados, describiendo el reemplazo como la forma más segura de cerrar cualquier riesgo, y ha señalado a los clientes la aplicación móvil del banco como un canal directo para verificar si su cuenta fue afectada y qué pasos seguir — incluyendo revisar las notificaciones dentro de la aplicación, usar los controles de bloqueo/congelamiento de tarjetas, y monitorear las transacciones en busca de cualquier cargo no autorizado.

Sea cual sea el alcance total que finalmente tenga este incidente, el mismo ofrece un panorama útil y real de cómo puede verse en la práctica el lado de la respuesta de una notificación bajo la Ley 111: un canal específico y accesible para que los clientes obtengan respuestas, junto con un paso de remediación real (el reemplazo de tarjetas) en lugar de solamente notificarles la situación.

La Ley 111 Contiene Requisitos Específicos — y Acciones Inmediatas

  • La notificación a los residentes afectados debe realizarse “de la manera más expedita posible”, tomando en cuenta la necesidad de las agencias del orden público de asegurar evidencia y de restaurar la seguridad del sistema.
  • Las partes responsables deben informar a DACO (el Departamento de Asuntos del Consumidor de Puerto Rico) dentro de los 10 días de haber detectado la violación — un plazo que la Ley 111 califica como “improrrogable”.
  • Una vez DACO recibe dicha información, debe hacer un anuncio público dentro de las 24 horas siguientes.
  • La notificación en sí debe ser clara y conspicua, describir la violación de seguridad en términos generales junto con el tipo de información sensitiva involucrada, e incluir un número de teléfono libre de cargos o un sitio web para más información.
  • Si la notificación directa cuesta más de $100,000 o afecta más de 100,000 personas, la Ley 111 permite en su lugar una notificación sustituta mediante un anuncio prominente en el negocio y en su página web, además de notificación a los medios de comunicación.

La Penalidad — Hasta $5,000 en Multas, Pero Ilimitada en los Tribunales

Bajo el Artículo 10 de la Ley 111, el Secretario del DACO puede imponer multas de $500 a $5,000 por cada violación. Sin embargo, este artículo también establece que estas multas no sustituyen el derecho del consumidor a demandar por separado por daños en los tribunales. Para una violación de seguridad que afecte a miles de tarjetahabientes como esta, la multa administrativa probablemente será la menor de sus preocupaciones, ya que la exposición agregada de litigios privados es donde realmente residirá el riesgo financiero.

¿Por Qué Debe Importarte Esto?

  • La Ley 111 no aplica solamente a los “bancos grandes”. Cualquier negocio — por ejemplo, un consultorio médico, un bufete de abogados, un comercio minorista, una escuela — que mantenga una base de datos de clientes con nombres combinados con números de Seguro Social, números de cuenta o credenciales de acceso, está obligado a cumplir con la Ley 111.
  • Las violaciones de seguridad de tus proveedores son, legalmente, tus violaciones. Si un procesador de pagos, un proveedor de servicios en la nube, o cualquier proveedor que utilices sufre una violación de seguridad, la cadena de la Ley 111 implica que la obligación de notificar a tus propios clientes puede recaer sobre ti, no sólo sobre el proveedor — por lo que saber cuáles de tus proveedores manejan este tipo de información importa antes de un incidente, no después.
  • El reloj de 10 días de DACO no perdona. “Improrrogable” significa exactamente eso. Un negocio que no tenga ya un plan de respuesta a incidentes que establezca quién hace qué dentro de ese plazo, estará compitiendo contra el reloj por primera vez en el peor momento posible.
  • La protección con contraseña por sí sola no te exime. La Ley 111 específicamente requiere algo más allá de una contraseña — en fin, protección encriptada — antes de que los datos queden fuera del requisito de notificación. Muchos negocios pequeños asumen que “protegido con contraseña” es suficiente. La Ley 111 claramente establece que ese no es el caso.

¿Está Tu Negocio Preparado para Manejar una Violación de Seguridad? Aquí Hay Algunas Cosas Que Puedes Empezar a Hacer Hoy.

  • Conoce exactamente cuáles de sus proveedores manejan información personal de residentes de PR, y redacta contratos con proveedores que les exijan notificar de inmediato — idealmente dentro de 24 horas — de cualquier violación de seguridad. No podrás cumplir con el plazo de 10 días de DACO si eres es el último en enterarte.
  • Ten un plan de notificación de violaciones de seguridad listo antes de necesitarlo — el plan debe contener modelos de notificaciones, un punto de contacto designado, y una ruta clara de escalamiento interno para que el plazo de 10 días no se gaste investigando quién está a cargo de qué.
  • Encripta y protege toda información sensitiva – la protección con contraseña no es suficiente. El cifrado será su mejor defensa para cumplir con la Ley 111 y proteger tu negocio.
  • No asumas que decir que “no hay evidencia de uso indebido” termina el asunto y evita responsabilidad — el deber de notificar se activa por el acceso no autorizado en sí, no por la existencia de prueba que concluya que los datos fueron usados indebidamente.

En Resumen

La situación de Evertec/Oriental es una lamentable ilustración de exactamente la cadena que los legisladores de Puerto Rico anticiparon en el 2005: una violación de seguridad de un proveedor que fluye hacia notificaciones bancarias, supervisión del DACO, y divulgación pública. Sea cual sea el resultado de este caso específico, la lección más amplia se mantiene para cualquier negocio que maneje información personal de residentes de Puerto Rico: esta ley aplica seas o no un banco, el reloj comienza en el momento que detectas la violación de seguridad, y “no lo sabíamos porque nuestro proveedor no nos avisó a tiempo” no es una defensa permitida por ley.

Si deseas asegurarte de que tu negocio cumpla con las leyes de privacidad y seguridad de datos de Estados Unidos y Puerto Rico — incluyendo tener un plan de notificación de violaciones de seguridad que cumpla con los plazos de la Ley 111 — puedes reservar una cita con nosotros hoy. Te ayudaremos a mapear tus datos, tus proveedores, y establecer tus obligaciones antes de que un incidente te obligue a aprenderlas de la forma más difícil.

[2026-07-13]

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.