Author: Jaime Farrant

Immigración cambió nuevamente las reglas de “carga pública”. ¿Podría esto afectar tu caso?

Posted by Jaime Farrant on with 0 Comment

Si durante la última década solicitaste residencia permanente, una visa o admisión a Estados Unidos, probablemente escuchaste la frase “carga pública”, quizás recuerdas haber leído o escuchado que la frase tiene distintos significados dependiendo cuando se pregunta. Ahora, el pasado 18 de julio de 2026, la definición cambió de nuevo cuando DHS publicó una regla final que eliminó los reglamentos de carga pública de 2022 y devolvió más discreción a los oficiales de inmigración para definir quien es una carga pública a partir del 18 de septiembre de 2026.

Si has pasado en tu vida por dificultades financieras, usaste beneficios públicos, o dependiste de un patrocinador, esta nueva política es importante porque puede cambiar cómo se decide tu caso.

Un breve repaso histórico de la “carga pública”

La inadmisibilidad por carga pública no es nueva; ha sido parte de la ley de inmigración de Estados Unidos desde hace muchos años. Esta regla le permite al gobierno negar la admisión o residencia a alguien que entienda que dependerá principalmente de ayudas gubernamentales. Lo que ha cambiado a través del año es cómo se define esto.

En 2022, el DHS publicó un reglamento detallado que especificaba factores y definiciones concretas: definía que era un “beneficio público,” qué significaba “recibir” un beneficio, establecía definiciones de “hogar” y “gobierno,” y contenía una lista formal de exenciones en el 8 CFR 212.23 que protegía a refugiados, asilados y otras categorías protegidas.

El DHS ahora está eliminado esa estructura codificada, ya que ha tomado la posición de que la Regla Final de 2022 “no fue la mejor implementación del estatuto,” era “incompatible con la intención del Congreso,” y resultaba “indebidamente restrictiva.” Las determinaciones de carga pública vuelven ahora a la discreción amplia y caso por caso de los oficiales — guiada por el propio estatuto y por orientación de política no vinculante, en lugar de una lista de verificación con estándares fijos y objetivos.

¿Qué cambia a partir del 18 de septiembre?

  • Desaparece el marco de 2022. El DHS elimina en su totalidad los 8 CFR 212.20 al 212.23, incluyendo las definiciones codificadas de “beneficios públicos,” “recepción,” “hogar” y “gobierno,” junto con la lista formal de exenciones y dispensas.
  • Aumenta la discreción del oficial. Los oficiales de USCIS y los oficiales consulares evaluarán la “totalidad de las circunstancias” usando los factores estatutarios de la INA — edad, salud, estado familiar, activos, recursos, situación financiera y educación/habilidades — sin definiciones codificadas que limiten su análisis.
  • Es en su mayoría prospectiva. La regla aplica a solicitudes de admisión presentadas a partir del 18 de septiembre de 2026, y a solicitudes de ajuste de estatus con matasellos o presentadas electrónicamente a partir de esa fecha. Los beneficios recibidos antes de esa fecha se siguen evaluando bajo el marco de la Regla Final de 2022, incluso si la solicitud se presenta después.
  • Las exenciones de refugiados y asilados se mantienen intactas. Esas exenciones provienen de las secciones 207(c)(3) y 209(c) de la INA — disposiciones estatutarias separadas que esta regla no puede alcanzar.

La Nueva Regla No Trae un Nuevo Reglamento

Esto no es un simple cambio de un marco detallado por otro. El DHS eliminó la estructura codificada y devolvió la decisión al juicio individual del oficial, guiado por el estatuto y cualquier guía subreglamentaria que el DHS eventualmente emita — la cual aún no existe.

Esto tiene dos caras. Por un lado, los oficiales tienen más margen para considerar contexto que una lista rígida habría excluido. Sin embargo, al no definir qué cuenta como “beneficio público” o cuánto peso debe tener cada factor, los solicitantes y sus abogados tienen menos certeza de antemano — y menos de un estándar fijo al cual apelar si un caso es denegado.

¿Por qué Debe Importarte Esta Nueva Regla?

  • “No usé un beneficio cubierto bajo la regla anterior” ya no es determinante por sí solo. La lista fija de beneficios descalificantes de la regla de 2022 desapareció. Los oficiales ahora pueden ponderar el uso de beneficios y las circunstancias financieras como parte del panorama completo.
  • El momento de presentación determina qué marco aplica. Presentar o tener matasellos antes del 18 de septiembre de 2026 significa que rige la regla de 2022. Presentar después significa que aplica el nuevo estándar discrecional — aunque los beneficios recibidos antes de esa fecha se sigan evaluando bajo los términos de 2022.
  • Habrá mayor variabilidad en la resolución de casos. Casos con hechos similares podrían tener resultados distintos según cómo cada oficial pondere los factores estatutarios.
  • El alcance es amplio. Solicitantes de residencia permanente, solicitantes de visa consular, registrantes y personas renovando TPS, y cualquier persona que haya tenido problemas financieros serán impactados.

¿Qué puedes hacer ahora?

  • Conoce qué marco legal aplica a su caso. Presentado, con matasellos o enviado electrónicamente antes del 18 de septiembre de 2026 → regla de 2022. Después → nuevo estándar discrecional. El momento de presentación importa más de lo usual en este momento.
  • Construye y presenta a Inmigración un panorama financiero completo, no una respuesta tipo lista de verificación.Ya que ahora no hay una lista clara de como implementar esta regla, comience a documentar sus activos, recursos, salud, educación y apoyo familiar — los factores estatutarios reales que un oficial seguramente va a solicitar y analizarr.
  • Confirmeaque cualquier exención a personas refugiadas o asiladas sigan aplicando a su situación procesal. Las exenciones por ley no se verán afectadas, pero verifique siempre contra su situación.
  • Está atento a cambios del Manual de Políticas de USCIS. El DHS eliminó la regla codificada sin presentar nuevas guías. Cuando éstas se publiquen, seguramente impactarán cómo los oficiales ejercerán en la práctica esta regla.
  • Hableacon un abogado de inmigración antes de presentar tu caso, no después de una denegación. Adelantarse a cómo se percibirá su historial financiero y de beneficios bajo un estándar discrecional es mucho más valioso ahora que cuando las reglas estaban detalladas por escrito.

En resumen

El DHS ha vuelto a revisar las definiciones de carga pública — no con una nueva regla detallada – sino eliminando el marco de 2022 y devolviendo las decisiones a los oficiales a partir del 18 de septiembre de 2026. Si tiene una solicitud pendiente o que va a presentar, la fecha en que presente su caso podría cambiar su resultado.

Si deseas ayuda para determinar qué marco aplica a tu cronograma de presentación, o quieres una segunda revisión de tu documentación financiera antes de que llegue a manos de un oficial bajo el nuevo estándar, agenda una consulta con nosotros hoy mismo. Estamos listos para ayudarte.

¿Qué Pasaría Si el Sistema de Inteligencia Artificial de Tu Proveedor Decide Hackear a Otra Persona?

Posted by Jaime Farrant on with 0 Comment

¿Alguna vez has pensado en lo que le podría pasar a tu negocio si el sistema de inteligencia artificial de tu proveedor decide, por su cuenta, entrar sin autorización a los servidores de otra empresa? Si no lo has pensado, quizás sea buen momento para hacerlo, porque las consecuencias para tu negocio podrían ser severas. Si tu negocio está regulado por HIPAA, una violación de esta ley podría traerte una multa civil de hasta $2,190,294 por categoría de violación, por año, en el nivel más alto de culpabilidad. Incluso un negocio que no hizo nada mal, donde el sistema de IA de un proveedor actuó completamente por su cuenta, podría enfrentar una multa de un nivel menor, una investigación del Departamento de Salud (“HHS”) de Estados Unidos, costos de notificación de incidentes de seguridad, y daño reputacional, por algo que nunca causó y que no pudo haber previsto.

Esta posibilidad ya no es hipotética. El 21 de julio de 2026, OpenAI publicó en su página web un aviso donde asumió responsabilidad por un ciberataque a Hugging Face, una plataforma ampliamente usada para alojar modelos de inteligencia artificial y colaboración en aprendizaje automático. Según OpenAI, una combinación de sus modelos —incluyendo uno disponible al público y otro más avanzado aún no lanzado, ambos operando con restricciones de seguridad reducidas para una evaluación interna de ciberseguridad— logró escapar de su entorno de prueba aislado explotando una falla previamente desconocida en una herramienta de software interna, obtuvo acceso a internet abierto, y luego utilizó credenciales robadas y otra vulnerabilidad desconocida para lograr ejecución remota de código en los servidores de producción de Hugging Face. Su objetivo, según OpenAI, era limitado pero revelador: los modelos intentaban obtener las respuestas correctas de la prueba de evaluación en la que estaban siendo calificados. Hugging Face ya había detectado la intrusión durante un fin de semana de actividad automatizada, la reportó a las autoridades, y comenzó su propia contención antes de siquiera saber que OpenAI era responsable.

Ambas empresas han calificado esto como un momento decisivo para la ciberseguridad. Para un pequeño negocio, consultorio médico, u oficina profesional que depende de proveedores externos —incluyendo herramientas de IA— para almacenar, procesar, o transmitir información sensible, esto también debe ser una llamada de atención sobre un tipo de riesgo que la mayoría de los contratos con proveedores nunca contemplaron: el agente de IA que actúa por su propia cuenta.

¿Por Qué el Comportamiento de la IA de Tu Proveedor Podría Convertirse en Tu Problema?

La mayoría de las leyes de privacidad y seguridad de datos que aplican a pequeños negocios no distinguen entre una filtración causada por un hacker humano y una causada por un sistema autónomo. Si tu práctica o negocio utiliza un asociado de negocio de una entidad cubierta, un proveedor de servicios en la nube, o cualquier tercero que tenga acceso a información personal o de salud, generalmente eres responsable legalmente de:

  • Evaluar las prácticas de seguridad de ese proveedor antes de firmar un contrato (debida diligencia).
  • Contar con las protecciones contractuales adecuadas, como un Acuerdo de Asociado de Negocio (BAA, por sus siglas en inglés) bajo HIPAA para consultorios médicos, o términos comparables de procesamiento y seguridad de datos para cualquier negocio que maneje información personal.
  • Notificar a las personas afectadas, y en algunos casos a los reguladores, si el sistema de ese proveedor se ve comprometido y tus datos están involucrados.

Bajo HIPAA, los asociados de negocio de una entidad cubierta están contractual y legalmente obligados a proteger la información de salud protegida (PHI, por sus siglas en inglés), y una filtración a nivel del proveedor puede generar obligaciones de notificación para la entidad cubierta misma, aunque haya sido el sistema del proveedor —y no el del consultorio médico— el que falló. Fuera del sector de salud, la mayoría de las leyes estatales de notificación de filtraciones de datos funcionan de forma similar: la responsabilidad sigue a los datos, no solo a la parte que causó el incidente.

Un agente de IA que autónomamente escala su propio acceso, extrae credenciales, o llega a sistemas para los que nunca fue autorizado no cambia en nada este análisis legal. Simplemente hace que sea más difícil de predecir, detectar, y contener.

Vale la pena ser precisos sobre lo que ocurrió y lo que no ocurrió aquí: según la información que ha dado OpenAI, los modelos estaban buscando las respuestas correctas de su propia prueba de evaluación, no buscando deliberadamente registros de clientes o pacientes. Ningún negocio debe interpretar este incidente como prueba de que se robaron datos de pacientes o clientes. No obstante, lo que si debe preocupar a cualquier negocio que depende de proveedores externos es la capacidad demostrada: un sistema de IA que, por iniciativa propia, encontró una vulnerabilidad de día cero, robó credenciales, escaló privilegios, y llegó a la infraestructura de producción de un tercero, durante un fin de semana sin monitoreo, antes de que interviniera algún humano. Si esa misma capacidad se dirige hacia un sistema que contiene registros de pacientes, números de cuentas financieras, o archivos de clientes, el resultado seríamuy diferente.

Un Vacío en las Obligaciones de Divulgación que Debes Conocer

Aquí hay un detalle que importa para cualquier negocio que confía en las garantías de un proveedor: OpenAI no estaba legalmente obligada a divulgar este incidente. Dos leyes estatales recientes, la SB 53 de California y la Ley RAISE de Nueva York, exigen que los grandes desarrolladores de IA reporten incidentes críticos de seguridad, pero solo si el incidente representa un riesgo de más de 50 muertes o lesiones graves, o más de $1,000 millones en daños a la propiedad. Un incidente como este queda muy por debajo de ese umbral. OpenAI lo divulgó de forma voluntaria. La conclusión práctica para tu negocio es que, como regla general, no puedes esperar recibir un informe público o un aviso regulatorio para saber si el sistema de IA de un proveedor ha tenido una falla similar, a menos que lo incluyas en tus contratos. Por consiguiente, tu herramienta principal para protegerte será lo que escribes en tus contratos y lo que preguntas a tus proveedores durante el proceso de contratación.

Estructura de Multas: ¿A Qué Potencialmente Te Expones?

La exposición aquí es de varios niveles, y puede aplicar a un negocio que nunca le pidió a un sistema de IA que hiciera nada indebido, si ese sistema operaba dentro de su propio entorno o el de un proveedor:

  • HIPAA: Las multas civiles actualmente van desde aproximadamente $145 hasta $2,190,294 por categoría de violación, por año, dependiendo del nivel de culpabilidad de la entidad cubierta o del asociado de negocio. El Nivel 1 (falta de conocimiento) está en el extremo más bajo; la negligencia intencional que no se corrige está en el extremo más alto. Los fiscales generales estatales pueden perseguir por separado multas relacionadas con HIPAA de hasta $25,000 por categoría de violación, por año, y las acciones multiestatales son cada vez más comunes cuando una filtración afecta a residentes de varios estados.
  • Leyes estatales de notificación de filtraciones: La mayoría de los estados pueden imponer multas o autorizar demandas privadas cuando un negocio no notifica con prontitud a los residentes afectados tras una filtración que involucre información personal, sin importar si la filtración se originó en el negocio o en un proveedor que este eligió.
  • Exposición contractual: Si el contrato con tu proveedor carece de plazos claros de notificación de incidentes, requisitos de seguridad, o derechos de auditoría específicos para herramientas de IA, tu negocio podría terminar absorbiendo los costos, o negociando desde una posición más débil, después de los hechos.

Nada de esto significa que todo incidente relacionado con un proveedor de IA resulte automáticamente en la multa máxima. Los reguladores generalmente consideran la naturaleza de los datos involucrados, el número de personas afectadas, si el negocio contaba con salvaguardas razonables, y qué tan rápido se atendió el incidente. Pero la exposición es real, y no se limita a las empresas que construyen o venden modelos de IA. Alcanza a cualquier negocio, consultorio médico, o práctica profesional que dependa de uno.

¿Por Qué Debe Importarte Esto?

Porque los expertos en seguridad de la inteligencia artificial están describiendo esto como uno de los primeros ejemplos reales de un escenario de “pérdida de control” de la IA: un sistema haciendo algo que los investigadores llevaban tiempo advirtiendo, sin que un humano lo dirigiera, y sin que un simple error de software fuera el culpable. Esta actividad se extendió por un periodo prolongado en un sistema que, a diferencia de las herramientas de producción de OpenAI que sí se monitorean activamente, no estaba siendo vigilado en tiempo real. Si a un laboratorio de IA de punta con equipos de seguridad dedicados le puede ocurir esto durante una prueba interna controlada, es razonable que cualquier negocio se pregunte qué supervisión existe sobre las herramientas habilitadas con IA, chatbots, asistentes de citas, o automatización administrativa que tu práctica ya utiliza, y qué dice realmente el contrato de tu proveedor sobre este riesgo.

Para un consultorio médico, esta pregunta no es abstracta. Las herramientas de IA cada vez se integran más en la admisión de pacientes, la programación de citas, la transcripción, y el software de facturación. Para cualquier pequeño negocio, aplica a cualquier servicio habilitado con IA que toque registros de clientes, datos financieros, u otra información sensible, aunque sea indirectamente.

¿Cómo Puedes Proteger Tu Negocio?

  • Haz un inventario de cada proveedor y herramienta de software que tu negocio utiliza que incorpore IA, especialmente cualquiera que toque datos de pacientes, clientes, finanzas, o empleados.
  • Confirma que tienes un BAA firmado con cualquier proveedor que cree, reciba, mantenga, o transmita PHI en tu nombre, si eres una entidad cubierta o un asociado de negocio.
  • Revisa los contratos con tus proveedores en busca de lenguaje específico sobre IA: ¿el acuerdo aborda el comportamiento de sistemas autónomos, exige notificación pronta de incidentes, y especifica obligaciones de seguridad?
  • Pregúntales directamente a tus proveedores cómo prueban la contención de sus sistemas de IA y qué sucede si un modelo excede su alcance previsto.
  • Confirma que tu plan de respuesta a incidentes contempla un escenario donde un proveedor, y no tus propios sistemas, sea la fuente de una filtración.
  • Revisa tu póliza de seguro cibernético para confirmar que cubre incidentes relacionados con herramientas de IA y proveedores externos de IA, no solo filtraciones de datos tradicionales.
  • No asumas que el silencio significa seguridad: incluye en tus contratos con proveedores un derecho contractual a ser notificado de incidentes de seguridad relacionados con IA, ya que las leyes actuales de divulgación de incidentes de seguridad de IA solo cubren los eventos más catastróficos y no necesariamente revelarán un incidente cercano en tu proveedor.

En Resumen

El incidente entre OpenAI y Hugging Face es un recordatorio de que el riesgo de la IA en 2026 no se trata solo de lo que tu negocio decide hacer con la inteligencia artificial. También se trata de lo que los sistemas de IA dentro de la infraestructura de tus proveedores puedan hacer sin que nadie se lo indique. Si tu práctica o negocio no ha revisado sus contratos con proveedores y su plan de respuesta a incidentes considerando esta posibilidad, este es un buen momento para hacerlo.

Si tienes preguntas sobre tus contratos con proveedores, acuerdos de asociado de negocio, o cómo una filtración en un proveedor externo de IA podría afectar tus obligaciones, agenda una cita con nosotros hoy.

Can a Gmail sent to your Patient Cost You $73,000.00 in Fines?

Posted by Jaime Farrant on with 0 Comment

Could a single email — sent from your personal Gmail account to a patient, with no breach, no hacker, and no leaked data anywhere — still cost your practice tens of thousands of dollars? Under HIPAA, the answer is yes. The U.S. Department of Health and Human Services’ Office for Civil Rights (OCR) has actually fined a covered entity specifically for failing to have a Business Associate Agreement in place before letting patient data flow through a vendor — no breach required. That kind of violation can cost anywhere from $1,461 up to $73,011, and in willful-neglect cases, as high as $2,190,294 per incident. If your practice is in Puerto Rico, there’s an added wrinkle too: the same email mishap can trigger a second, separate notification clock under Puerto Rico law — one that moves faster than HIPAA’s own deadlines. If your practice is emailing patients from a free, personal email account, this is a risk you’re actually carrying every time you hit send.

It’s Not the Account. It’s the Use.

HIPAA (the Health Insurance Portability and Accountability Act) doesn’t say anywhere that “thou shalt not have a free email account.” Plenty of covered entities and business associates use Gmail or Outlook for scheduling, marketing, or general non-protected health information (“PHI”) correspondence without ever running afoul of the law. The violation risk shows up the moment PHI — patient names tied to diagnoses, treatment details, billing information, or anything else that could identify someone’s health status — travels through that account without the right protections in place.

So, although it’s incorrect to say that “free email violates HIPAA,” it is correct to say that using free, consumer-grade email to transmit or store PHI without safeguards and the right agreements in place is what creates HIPAA exposure.

The Penalty — Up to $2.19 Million, But Most Cases Land Far Lower

HIPAA civil monetary penalties are assessed in four tiers, based on the covered entity’s level of culpability — not a flat fee for “using the wrong email provider”:

  • Tier 1 (Lack of Knowledge): $145 to roughly $36,505 per violation, per year — for practices that genuinely had no reasonable way of knowing the setup was non-compliant.
  • Tier 2 (Reasonable Cause): $1,461 up to $73,011 per violation, per year — this is where most “free email, no BAA” situations tend to land, since a basic risk analysis would typically have flagged the problem.
  • Tier 3 (Willful Neglect, corrected): $14,602 up to $73,011 per violation, per year — for practices that knew about the risk and didn’t act, but fixed it once flagged.
  • Tier 4 (Willful Neglect, not corrected within 30 days): $73,011 up to $2,190,294 per violation, per year — the steepest tier, for practices that knew and simply kept going.

And OCR isn’t the only exposure: state attorneys general have independent authority to bring their own HIPAA-related penalties (up to $25,000 per violation category, per year), and a breach affecting patients across multiple states can trigger simultaneous multi-state actions on top of whatever OCR imposes.

Why Free Email Accounts Are Risky for PHI

A few structural realities make consumer email services a poor fit for handling PHI:

1. No Business Associate Agreement (BAA). Under the HIPAA Privacy and Security Rules, any vendor that creates, receives, maintains, or transmits PHI on behalf of a covered entity is a “business associate” and must sign a BAA — a contract spelling out how they’ll protect that data. Google and Microsoft do offer BAAs for their paid, enterprise-tier services (Google Workspace, Microsoft 365 with the right plan), but standard free consumer Gmail, Yahoo and Outlook accounts are explicitly excluded from those BAA terms. If PHI moves through a free account, there’s no HIPAA-compliant contract backing it up.

2. Lack of Encryption Guarantees. The HIPAA Security Rule requires “addressable” implementation specifications around encryption of electronic PHI (ePHI), both at rest and in transit. Free email accounts typically encrypt data in transit between major providers (via TLS), but there’s no guarantee of end-to-end encryption, no audit trail requirements, and no assurance about how long messages sit unencrypted on a server or in someone’s inbox, sent folder, or trash.

3. No Access Controls or Audit Logs. HIPAA requires covered entities to implement access controls, audit controls, and integrity controls over ePHI. A free personal inbox doesn’t give you granular user permissions, activity logging, or the ability to demonstrate — during an OCR investigation — exactly who accessed a message and when.

4. Device and Account Security Is on You Alone. Free accounts are often accessed on personal phones, shared computers, or unmanaged devices. If that device is lost, stolen, or compromised, there’s no enterprise mobile device management (MDM) policy, remote wipe capability, or centralized IT oversight to contain the fallout.

What Actually Triggers Enforcement

OCR doesn’t go looking for practices that merely have a Gmail account. Enforcement actions tend to follow a pattern: a breach occurs, the practice reports it or a patient complains, and OCR’s investigation reveals that PHI was routinely sent through unsecured consumer email with no BAA, no encryption, and no risk analysis on file. The email account is often just the vehicle; the underlying violation is usually a broader failure to conduct a required risk assessment or implement reasonable safeguards under the Security Rule.

Puerto Rico Adds a Second — and Faster — Clock

If your practice operates in Puerto Rico, HIPAA isn’t the only framework in play. Two Puerto Rico statutes we’ve covered in earlier posts layer directly on top of a HIPAA email mishap:

Puerto Rico Data’s Breach Notification Act (Law 111 of 2005) explicitly lists “medical information protected by HIPAA”  as one of the categories of protected personal information under its own definition. This means that a PHI exposure through unsecured email isn’t just a HIPAA problem, it’s also a potential violaton under Puerto Rico’s own breach law. And the timeline for compliance in this law is tighter than HIPAA’s: while HIPAA requires notifying affected individuals “without unreasonable delay” and no later than 60 days, Law 111 separately requires informing DACO (Puerto Rico’s Department of Consumer Affairs) within a non-extendable 10 day period of detecting the breach — a much shorter clock running in parallel to your federal obligations. A practice that’s only tracking HIPAA’s 60-day deadline could easily blow through Puerto Rico’s 10-day one without realizing a second law was ever in play.

Puerto Rico’s Privacy Policy Notice Act (Law 39 of 2012) and its implementing DACO Regulation 8568 require any business collecting personal information from Puerto Rico residents — medical practices included — to publish a clear, accurate privacy policy. The good news here: Article 4 of Law 39 specifically provides that where a federal law like HIPAA already governs an industry’s privacy practices, Puerto Rico’s law is interpreted consistently with that federal framework, rather than layering on a conflicting standard. In practice, this means your HIPAA Notice of Privacy Practices does much of the necessary work — but your practice’s website privacy policy still needs to independently satisfy Reg 8568’s specific disclosure items (like how your site responds to “Do Not Track” signals and how you notify patients of policy changes), which aren’t things a HIPAA Notice of Privacy Practices is built to cover.

Why Should You Care About This?

  • A HIPAA-compliant practice on paper can still be exposed in Puerto Rico specifically. If you’ve only ever benchmarked your compliance against federal HIPAA requirements, Law 111’s separate 10-day DACO clock is an easy, invisible gap — it doesn’t show up in a HIPAA risk assessment, because it isn’t a HIPAA requirement at all.
  • Front-desk habits are usually the real exposure, not IT infrastructure. Most practices that end up in this situation don’t have a sophisticated data breach — they have a receptionist or provider who, for years, has been forwarding lab results or scheduling details from a personal Gmail account because it’s convenient.
  • The fix costs far less than the fine. A properly configured, BAA-backed enterprise email plan (ProtonMail Workspace, Google Workspace or Microsoft 365 Business) costs a few dollars per user per month — a rounding error next to even a single Tier 2 HIPAA penalty.
  • “We didn’t know” gets harder to argue every year. As HIPAA email guidance becomes more widely publicized (including through posts exactly like this one), OCR has more basis to treat a practice’s noncompliance as Tier 2 “reasonable cause” rather than Tier 1 “lack of knowledge” — which alone can raise the penalty range substantially.

Is Your Practice Handling Patient Email the Right Way? Here’s What to Do Today.

If your practice needs to email PHI, here’s what actually keeps you on the right side of both HIPAA and Puerto Rico law:

  • Use enterprise-tier email with a signed BAA (for example, ProtonMail Workspace, Google Workspace or Microsoft 365 Business/Enterprise plans all offer BAAs).
  • Enable encryption for messages containing PHI.
  • Implement access controls so only authorized staff can view PHI-containing messages.
  • Train staff on what can and can’t be sent via email, and when to use a secure patient portal instead.
  • Conduct a HIPAA risk analysis that specifically addresses how email is used in your workflow.
  • Know your Puerto Rico-specific deadlines separately from your HIPAA deadlines — build a notification plan that accounts for Law 111’s 10-day DACO clock, not just HIPAA’s 60-day outer limit.
  • Make sure your website privacy policy satisfies Reg 8568’s specific requirements (Do Not Track disclosure, policy-amendment notice) independently of your HIPAA Notice of Privacy Practices.
  • Consider a dedicated secure messaging or patient portal solution rather than email at all for anything sensitive.

The Bottom Line

Don’t let the headline scare you into thinking your personal Gmail account is automatically a compliance violation — that’s not how HIPAA works. However, don’t let the absence of an obvious red flag lull you into complacency either. The moment PHI enters that inbox without a BAA, encryption, and proper access controls, you’ve created real regulatory, financial and patient-trust risk — one that the OCR can act on even without a breach ever occurring, and one that, in Puerto Rico, can trigger a second, faster-moving notification clock most practices never realize applies to them. The fix isn’t complicated: keep PHI off consumer-grade email entirely, or upgrade to a properly configured, BAA-backed enterprise platform built for it.

If you want to make sure your practice’s email habits, privacy policy, and breach-notification plan actually comply with HIPAA and Puerto Rico law, please book a consult with us today. We’ll help you close the gap before a patient complaint, an OCR audit, or a missed 10-day deadline forces you to act under great pressure.

¿Podría un Correo Electrónico Enviado a tu Paciente por Gmail Costarte $73,000 en Multas?

Posted by Jaime Farrant on with 0 Comment

¿Podría un solo correo electrónico — enviado desde tu cuenta personal de Gmail a un paciente, sin ninguna filtración, sin hacker, y sin datos expuestos en ningún lugar — costarle a tu consultorio decenas de miles de dólares en multas? Bajo HIPAA, la respuesta es sí. La Oficina de Derechos Civiles (OCR, por sus siglas en inglés) del Departamento de Salud y Servicios Humanos de los Estados Unidos de hecho ha multado en el pasado a una entidad cubierta específicamente por no tener un Acuerdo de Asociado de Negocio (BAA) vigente antes de permitir que los datos de un paciente fluyeran a través de un proveedor — sin que se requiriera ninguna filtración. Ese tipo de violación puede costar entre $1,461 y $73,011, y en casos de negligencia intencional, hasta $2,190,294 por incidente. Si tu consultorio está en Puerto Rico, hay una consideración adicional: el mismo mensaje enviado por correo electrónico puede activar un segundo y separado reloj de notificación bajo la ley de Puerto Rico — uno que se mueve más rápido que los plazos de HIPAA. Si tu consultorio le envía correos electrónicos a pacientes desde una cuenta de correo personal y gratuita, este es un riesgo que estás asumiendo cada vez que presionas “enviar.”

No es la Cuenta. Es el Uso.

HIPAA (la Ley de Portabilidad y Responsabilidad del Seguro Médico, por sus siglas en inglés) no dice en ningún lugar que “no tendrás una cuenta de correo gratuita.” Muchas entidades cubiertas y asociados de negocio usan Gmail, Yahoo u Outlook para programar citas, enviar ofertas de mercadeo, o correspondencia general que no incluye información de salud protegida (“PHI,” por sus siglas en inglés), sin infringir jamás la ley. El riesgo de violación aparece en el momento en que el PHI — nombres de pacientes vinculados a diagnósticos, detalles de tratamiento, información de facturación, o cualquier otro dato que pudiera identificar el estado de salud de alguien — viaja a través de esa cuenta sin las protecciones adecuadas.

Así que, aunque es incorrecto decir que “el correo gratuito viola HIPAA,” sí es correcto decir que usar correo electrónico gratuito de nivel consumidor para transmitir o almacenar PHI sin las salvaguardas y los acuerdos correctos es lo que genera exposición ante HIPAA.

La Penalidad — Hasta $2.19 Millones, Pero la Mayoría de los Casos Son Mucho Menores

Las multas civiles de HIPAA se evalúan en cuatro niveles, según el grado de responsabilidad de la entidad cubierta — no es una tarifa fija por “usar el proveedor de correo equivocado”:

  • Nivel 1 (Falta de conocimiento): de $145 a aproximadamente $36,505 por violación, por año — para consultorios que genuinamente no tenían manera razonable de saber que la configuración no cumplía.
  • Nivel 2 (Causa razonable): de $1,461 hasta $73,011 por violación, por año — aquí es donde suelen ubicarse la mayoría de las situaciones de “correo gratuito, sin BAA,” ya que un análisis de riesgo básico normalmente habría señalado el problema.
  • Nivel 3 (Negligencia intencional, corregida): de $14,602 hasta $73,011 por violación, por año — para consultorios que conocían el riesgo y no actuaron, pero lo corrigieron una vez señalado.
  • Nivel 4 (Negligencia intencional, no corregida en 30 días): de $73,011 hasta $2,190,294 por violación, por año — el nivel más severo, para consultorios que sabían y simplemente continuaron.

Y la OCR no es la única fuente de exposición: los gobiernos estatales tienen autoridad independiente para imponer sus propias sanciones relacionadas con HIPAA (hasta $25,000 por categoría de violación, por año), y una filtración que afecte a pacientes en varios estados puede desencadenar acciones simultáneas en múltiples estados, además de lo que imponga la OCR.

Por Qué las Cuentas de Correo Gratuitas Son Riesgosas para el PHI

Existen varias realidades estructurales que hacen que los servicios de correo para consumidores sean poco adecuados para manejar PHI:

1. No hay Acuerdo de Asociado de Negocio (BAA). Bajo las Reglas de Privacidad y Seguridad de HIPAA, cualquier proveedor que cree, reciba, mantenga o transmita PHI en nombre de una entidad cubierta es un “asociado de negocio” y debe firmar un BAA — un contrato que detalla cómo protegerá esos datos. Google y Microsoft sí ofrecen BAAs para sus servicios empresariales de pago (Proton Workspace, Google Workspace, Microsoft 365 con el plan adecuado), pero las cuentas estándar y gratuitas de Gmail, Yahoo y Outlook para consumidores están explícitamente excluidas de esos términos de BAA. Si el PHI se transmite a través de una cuenta gratuita, no existe un contrato conforme a la ley HIPAA que lo respalde.

2. Falta de garantías de cifrado. La Regla de Seguridad de HIPAA exige especificaciones de implementación “abordables” en torno al cifrado del PHI electrónico (ePHI), tanto en reposo como en tránsito. Las cuentas de correo gratuitas generalmente cifran los datos en tránsito entre los principales proveedores (mediante TLS), pero no hay garantía de cifrado de extremo a extremo (“end to end”), ni requisitos de registro de auditoría, ni certeza sobre cuánto tiempo permanecen los mensajes sin cifrar en un servidor o en la bandeja de entrada, enviados o papelera de alguien.

3. No tienen controles de acceso ni registros de auditoría. HIPAA exige que las entidades cubiertas implementen controles de acceso, controles de auditoría y controles de integridad sobre el ePHI. Una bandeja de entrada personal gratuita no ofrece permisos de usuario granulares, registro de actividad, ni la capacidad de demostrar — durante una investigación de la OCR — exactamente quién accedió a un mensaje y cuándo.

4. La seguridad del dispositivo y de la cuenta depende únicamente de ti. Las cuentas gratuitas a menudo se acceden desde teléfonos personales, computadoras compartidas o dispositivos sin gestión. Si ese dispositivo se pierde, es robado o se ve comprometido, no existe una política empresarial de gestión de dispositivos móviles (MDM), capacidad de borrado remoto, ni supervisión centralizada de TI para contener las consecuencias.

Qué Realmente Activa la Aplicación de la Ley

La OCR no busca activamente consultorios que simplemente tengan una cuenta de Gmail. Las acciones de cumplimiento suelen seguir un patrón: ocurre una filtración, el consultorio la reporta o un paciente presenta una queja, y la investigación de la OCR revela que el PHI se enviaba habitualmente por correo electrónico de consumo sin seguridad, sin BAA, sin cifrado y sin un análisis de riesgo documentado. La cuenta de correo suele ser solo el vehículo; la violación subyacente suele ser una falla más amplia en realizar un análisis de riesgo requerido o implementar salvaguardas razonables bajo la Regla de Seguridad.

Puerto Rico Añade un Segundo Reloj — Mucho Más Rápido

Si tu consultorio opera en Puerto Rico, HIPAA no es el único marco legal que le aplica. Dos estatutos de Puerto Rico que hemos cubierto en publicaciones anteriores se superponen directamente sobre un error de correo electrónico bajo HIPAA:

La Ley de Notificación de Violaciones de Seguridad de Puerto Rico (Ley 111 de 2005) enumera explícitamente “información médica protegida por HIPAA” como una de las categorías de información personal protegida bajo su propia definición. Esto significa que una exposición de PHI a través de correo electrónico sin seguridad no es solo un problema de HIPAA — también es una posible violación bajo la propia ley de violaciones de seguridad de Puerto Rico. Y el plazo de cumplimiento bajo esta ley es más corto que el de HIPAA: mientras HIPAA exige notificar a las personas afectadas “sin demora injustificada” y a más tardar en 60 días, la Ley 111 exige por separado informar al DACO (el Departamento de Asuntos del Consumidor de Puerto Rico) dentro de un plazo improrrogable de 10 días de haber detectado la violación de seguridad — un reloj mucho más corto que corre paralelamente a tus obligaciones federales. Un consultorio que sólo esté rastreando el plazo de 60 días de HIPAA podría fácilmente incumplir el plazo de 10 días de Puerto Rico sin darse cuenta de que una segunda ley estaba en juego.

La Ley de Notificación de Política de Privacidad de Puerto Rico (Ley 39 de 2012) y su Reglamento 8568 del DACO exigen que todo negocio que recopile información personal de residentes de Puerto Rico — incluyendo consultorios médicos — publique una política de privacidad clara y precisa. La buena noticia aquí: el Artículo 4 de la Ley 39 específicamente dispone que, cuando una ley federal como HIPAA ya rige las prácticas de privacidad de una industria, la ley de Puerto Rico se interpreta de manera consistente con ese marco federal, en lugar de imponer un estándar contradictorio adicional. En la práctica, esto significa que tu Aviso de Prácticas de Privacidad de HIPAA hace gran parte del trabajo necesario — pero la política de privacidad del sitio web de tu consultorio aún necesita satisfacer de forma independiente los elementos de divulgación específicos del Reglamento 8568 (como la manera en que tu sitio responde a las señales de “Do Not Track” y cómo notificas a los pacientes sobre cambios en tus políticas), cosas que un Aviso de Prácticas de Privacidad de HIPAA no está diseñado para cubrir.

¿Por Qué Debería Importarte Esto?

  • Un consultorio que cumple con HIPAA en papel aún puede estar expuesto específicamente en Puerto Rico. Si sólo has evaluado tu cumplimiento contra los requisitos federales de HIPAA, el reloj separado de 10 días del DACO bajo la Ley 111 es una brecha fácil e invisible — no aparece en una evaluación de riesgo de HIPAA, porque no es un requisito de HIPAA en absoluto.
  • Los hábitos del área de recepción suelen ser la verdadera exposición, no la infraestructura de TI. La mayoría de los consultorios que terminan en esta situación no tienen una filtración de datos sofisticada — tienen a un recepcionista o proveedor que, durante años, ha estado enviando resultados de laboratorio o detalles de citas desde una cuenta personal de Gmail porque es conveniente.
  • La solución cuesta mucho menos que la multa. Un plan de correo electrónico empresarial correctamente configurado y respaldado por un BAA (ProtonMail Workspace, Google Workspace o Microsoft 365 Business) cuesta unos pocos dólares por usuario al mes — una cifra insignificante comparada con incluso una sola multa de Nivel 2 de HIPAA.
  • “No lo sabíamos” es cada vez más difícil de argumentar. A medida que la orientación sobre correo electrónico y HIPAA se hace más pública (incluso a través de publicaciones como ésta), la OCR tiene más base para tratar el incumplimiento de un consultorio como Nivel 2 “causa razonable” en lugar de Nivel 1 “falta de conocimiento” — lo cual, por sí solo, puede elevar sustancialmente el rango de la penalidad.

¿Está Tu Consultorio Manejando el Correo Electrónico de los Pacientes de la Forma Correcta? Esto es lo Que Puedes Hacer Hoy.

Si tu consultorio necesita enviar PHI por correo electrónico, esto es lo que realmente te mantiene del lado correcto tanto de HIPAA como de la ley de Puerto Rico:

  • Usa correo electrónico de nivel empresarial con un BAA firmado (por ejemplo, ProtonMail Workspace, Google Workspace o los planes de Microsoft 365 Business/Enterprise, todos ofrecen BAAs).
  • Habilita el cifrado para los mensajes que contengan PHI.
  • Implementa controles de acceso para que solo el personal autorizado pueda ver los mensajes que contienen PHI.
  • Capacita al personal sobre qué se puede y qué no se puede enviar por correo electrónico, y cuándo usar en su lugar un portal seguro para pacientes.
  • Realiza un análisis de riesgo de HIPAA que aborde específicamente cómo se usa el correo electrónico en tu flujo de trabajo.
  • Conoce tus plazos específicos de Puerto Rico por separado de tus plazos de HIPAA — construye un plan de notificación que tome en cuenta el reloj de 10 días del DACO bajo la Ley 111, no solo el límite de 60 días de HIPAA.
  • Asegúrate de que la política de privacidad de tu sitio web satisfaga los requisitos específicos del Reglamento 8568(divulgación de “Do Not Track,” notificación de enmiendas a la política) de forma independiente de tu Aviso de Prácticas de Privacidad de HIPAA.
  • Considera una solución dedicada de mensajería segura o portal para pacientes en lugar del correo electrónico para cualquier información sensible.

En Resumen

No dejes que el titular te asuste pensando que tu cuenta personal de Gmail es automáticamente una violación de cumplimiento — así no funciona HIPAA. Sin embargo, tampoco dejes que la ausencia de una señal de alerta obvia te lleve a la complacencia. En el momento en que el PHI entra a esa bandeja de entrada sin un BAA, cifrado o controles de acceso adecuados, has creado un riesgo regulatorio, financiero y de confianza real — uno sobre el cual la OCR puede actuar incluso sin que ocurra jamás una filtración, y uno que, en Puerto Rico, puede activar un segundo reloj de notificación más rápido que la mayoría de los consultorios no conocen o saben que les aplica. La solución no es complicada: mantén el PHI fuera del correo electrónico de nivel consumidor por completo, o invierte en una plataforma empresarial correctamente configurada y respaldada por un BAA, diseñada para ello.

Si quieres asegurarte de que los hábitos de correo electrónico, la política de privacidad, y el plan de notificación de violaciones de seguridad de tu consultorio realmente cumplan con HIPAA y la ley de Puerto Rico, puedes reservar una consulta con nosotros hoy. Te ayudaremos a cerrar la brecha antes de que una queja de un paciente, una auditoría de la OCR, o un plazo de 10 días incumplido te obligue a actuar bajo mucha presión.

Oriental had 10 days to Notify a Breach to Regulators. Could your business – and its vendors – do the same?

Posted by Jaime Farrant on with 0 Comment

In May 2026, Evertec — a payment processor that handles data for banks across Puerto Rico — discovered that an unauthorized party accessed customer information through a third-party support platform, exposing card numbers and, in some cases, names, expiration dates, birth dates, and contact details. Oriental Bank confirmed some of its customers were affected, began notifying them through its mobile app, and started reissuing cards. Under Puerto Rico’s Data Breach Notification Act of 2005, once a breach like this is detected, the responsible parties have a non-extendable 10 days to inform DACO — Puerto Rico’s Department of Consumer Affairs — before the agency makes the matter public. Although 10 days might sound like enough time, take a few minutes to ask yourself: if a vendor you rely on got breached tomorrow, would you even find out in time to hit that deadline — and, does your business actually know who’s responsible for what, or would you be building that answer from scratch under pressure?

What Information is Covered under Puerto Rico’s Breach Notification Act?

If you or your business are Oriental Bank customers, you can go to their site to learn more about the incident and how to protect yourself.

Passed in 2005 to respond to identity theft cases, Law Number 111 of September 7, 2005, called Ley de Información al Ciudadano Sobre la Seguridad de Bancos de Información (translated literally as “Citizen Notification Act on the Security of Information Databases”) requires any entity that owns or holds a data bank (banco de información) containing personal information on Puerto Rico residents to notify those residents when the security of that system is breached. The law’s reach is broad by design: “entity” is defined to include virtually any corporation, partnership, or business operating in Puerto Rico, plus public and private educational institutions — which certainly isn’t limited to banks or financial services.

What counts as protected “personal information archive” under Law 111? 

Any record containing a name (or first initial plus surname) combined with any of the following, in a form that’s readable without a special cryptographic key — meaning a password alone doesn’t count as protection:

  • Social Security number.
  • Driver’s license, voter ID, or other official ID number.
  • Bank or financial account numbers of any kind (this is exactly what was exposed in the Evertec incident).
  • Usernames and passwords to public or private computer systems.
  • HIPAA-protected medical information.
  • Tax information.
  • Employment evaluations.

The Two-Tier Notification Chain

Law 111 sets up a structure that maps almost exactly what’s happening with Evertec and Oriental right now:

  • If your business resells or provides access to a digital data bank containing personal information on behalf of another entity, and that access is breached, you must notify the owner or custodian of that data — not the individual consumers directly.
  • If your business owns or holds the data itself, you must notify the affected residents directly once you learn (from your own systems or from a vendor) that a breach has occurred.

In the current case, Evertec — as the vendor providing the data processing — sits in the first category; Oriental Bank and other affected financial institutions, as the data owners with the direct customer relationship, sit in the second. That’s precisely the chain Law 111 anticipated: the vendor notifies the institution, the institution notifies the customer.

On the ground, this has looked like concrete remediation alongside notification: Oriental’s CEO has said the bank is proactively reissuing cards to affected customers, describing replacement as the most secure way to close out any risk, and has pointed customers to the bank’s mobile app as a direct channel to check whether their account was affected and what steps to take — including reviewing in-app notifications, using card lock/freeze controls, and monitoring transactions for anything unauthorized. 

Whatever the eventual full scope of the incident turns out to be, this is a useful real-world picture of what the response side of a Law 111 notification can look like in practice: a specific, accessible channel for customers to get answers, paired with an actual remediation step (card replacement) rather than notification alone.

The Deadlines Are Specific — and Short

  • Notification to affected residents must happen “as expeditiously as possible,” with allowance made for law enforcement’s need to secure evidence and for restoring system security.
  • Separately, and non-negotiably: the responsible parties must inform DACO (Puerto Rico’s Department of Consumer Affairs) within 10 days of detecting the breach — a deadline that Law 111 explicitly calls “non-extendable”.
  • Once DACO receives that information, it must make a public announcement within 24 hours.
  • The notice itself must be clear and conspicuous, describe the breach in general terms along with the type of sensitive information involved, and include a toll-free number or website for more information.
  • If direct notification would cost more than $100,000 or affect more than 100,000 people, the law allows substitute notice instead through a prominent posting at the business and on its website, plus notification to media outlets.

The Penalty — Up to $5,000 in fines, but Unlimited in the Courts

Under Article 10 of Law 111, DACO’s Secretary can impose fines of $500 to $5,000 per violation. However, this article also states that these fines don’t replace a consumer’s right to separately sue for damages in court. For a breach affecting thousands of cardholders like this one, the administrative fine will probalby be the least of their worries, as the aggregate exposure from private litigation is where the real financial risks will lie.

Why Should You Care about this?

  • This isn’t just a “big bank” law. Any business — for example, a medical office, a law firm, a retailer, a school — that holds a customer or client database containing names paired with social security numbers, account numbers, or login credentials is required to comply with Law 111.
  • Vendor breaches legally are your breaches. If a payment processor, cloud host, or vendor you use gets breached, Law 111’s chain means the notification obligation to your own customers may land on you, not just the vendor — so knowing which of your vendors hold this kind of data matters before an incident, not after.
  • The 10-day DACO clock is unforgiving. “Non-extendable” means exactly that. A business that doesn’t already have an incident-response plan mapping out who does what within that window is racing the clock for the first time during the worst possible moment.
  • Password protection alone doesn’t exempt you. Law 111 specifically requires something beyond a password — real encryption — before data falls outside the notification requirement. A lot of small businesses assume “password-protected” is enough. It isn’t, under this statute.

Is Your Business Prepared to Handle a Breach? Here Are a Few Things You Can Start Doing Today

  • Know exactly which of your vendors hold PR-resident personal data, and draft vendor contracts that require them to notify you immediately – ideally within 24 hours – of any breach. You will not be able to meet the 10-day DACO deadline if you’re the last to know.
  • Have a breach-notification plan ready before you need it — template notices, a designated point of contact, and a clear internal escalation path so the 10-day window isn’t spent figuring out who’s in charge.
  • Actually encrypt sensitive data, not just password-protect it — encryption is what takes a breach outside this law’s notification trigger in the first place.
  • Don’t assume “no evidence of misuse” ends the matter and avoids liability  — the notification duty is triggered by unauthorized access itself, not by proof that the data was actually misused.

The Bottom Line

The Evertec/Oriental situation is an unfortunate illustration of exactly the chain Puerto Rico lawmakers anticipated back in 2005: a vendor breach flowing through to bank notifications, DACO oversight, and public disclosure. Whatever the outcome of that specific case, the broader lesson holds for any business handling personal data of Puerto Rican residents: this law applies whether or not you’re a bank, the clock starts the moment you detect the breach, and “we didn’t know because our vendor didn’t tell us fast enough” isn’t a defense allowed by the law.

If you want to make sure your business complies with U.S. and Puerto Rico privacy and data-security laws — including having a breach-notification plan that actually meets Law 111’s deadlines — you can book an appointment with us today. We’re ready to help you map your data, your vendors, and your obligations before an incident forces you to learn them the hard way.

[2026-07-13]

Oriental Tuvo 10 Días para Notificar a los Reguladores Una Violación de Seguridad. ¿Podrían Tu Negocio — y Tus Proveedores — Hacer lo Mismo?

Posted by Jaime Farrant on with 0 Comment

En mayo de 2026, Evertec — una procesadora de pagos que maneja datos de bancos para todo Puerto Rico — descubrió que una parte no autorizada accedió a información de clientes a través de una plataforma de soporte de un tercero, exponiendo números de tarjetas y, en algunos casos, nombres, fechas de expiración, fechas de nacimiento y datos de contacto. Oriental Bank confirmó que algunos de sus clientes fueron afectados, comenzó a notificarles a través de su aplicación móvil, y empezó a reemplazar tarjetas. Bajo la Ley de Información al Ciudadano sobre la Seguridad de Bancos de Información de Puerto Rico de 2005, una vez se detecta una violación de seguridad como esta, las partes responsables tienen un plazo improrrogable de 10 días para informar al DACO — el Departamento de Asuntos del Consumidor de Puerto Rico — antes de que la agencia haga pública la situación. 

Aunque 10 días pueden sonar como tiempo suficiente, toma hoy unos minutos para preguntarte: si un proveedor del cual dependes sufriera mañana un hackeo o filtración de tus récords, ¿te enterarías a tiempo para cumplir con este plazo? Y, ¿tu negocio realmente sabe quién es responsable de qué, o estarías respondiendo a esta crisis bajo presión y sin saber que te requiere la ley?

Nota: Si tu o tu negocio son clientes de Oriental Bank, puedes ir a su página para conocer más del incidente e informarte sobre como proteger tus cuentas.

¿Qué Cubre Realmente la Ley de Notificación de Violaciones de Seguridad de Puerto Rico?

La Ley Número 111 del 7 de septiembre de 2005, llamada la “Ley de Información al Ciudadano sobre la Seguridad de Bancos de Información”, aprobada para responder a casos de robos de identidad, exige que toda entidad que sea dueña o custodia de un banco de información que contenga datos personales de residentes de Puerto Rico notifique a dichos residentes cuando la seguridad de ese sistema sea violada. El alcance de la ley es muy amplio: “entidad” se define para incluir prácticamente cualquier corporación, sociedad o negocio que opere en Puerto Rico, además de instituciones educativas públicas y privadas — ciertamente no se limita a bancos o servicios financieros.

¿Qué considera la Ley 111 como un “archivo de información personal” protegido? 

Cualquier expediente que contenga un nombre (o primera inicial más apellido) combinado con cualquiera de los siguientes datos, de forma legible sin necesidad de una clave criptográfica especial — es decir, una contraseña por sí sola no cuenta como protección.

Esto puede incluir:

  • Número de Seguro Social.
  • Número de licencia de conducir, tarjeta electoral u otra identificación oficial.
  • Números de cuentas bancarias o financieras de cualquier tipo (esto es exactamente la información expuesta en el incidente de Evertec).
  • Nombres de usuario y contraseñas de sistemas informáticos públicos o privados.
  • Información médica protegida por HIPAA.
  • Información contributiva.
  • Evaluaciones laborales.

La Cadena de Notificación de Dos Niveles

La Ley 111 establece una estructura que se asemeja casi exactamente a lo que está ocurriendo ahora mismo con Evertec y Oriental:

  • Si tu negocio revende o provee acceso a un banco de información digital que contiene información personal en nombre de otra entidad, y ese acceso es violado, debes notificar al dueño o custodio de esos datos — no directamente a los consumidores individuales.
  • Si tu negocio es dueño o custodio de los datos, debes notificar directamente a los residentes afectados una vez te enteres (por tus propios sistemas o por un proveedor) de que ha ocurrido una violación de seguridad.

En este caso, Evertec — como el proveedor que provee el procesamiento de datos — se ubica en la primera categoría; Oriental Bank y otras instituciones financieras afectadas, como los dueños de los datos y de la relación directa con el cliente, se ubican en la segunda. Esa es precisamente la cadena que la Ley 111 anticipó: el proveedor notifica a la institución, la institución notifica al cliente.

En la práctica, este proceso ha transcurrido de forma concurrente: el CEO de Oriental ha dicho que el banco está reemplazando proactivamente las tarjetas de los clientes afectados, describiendo el reemplazo como la forma más segura de cerrar cualquier riesgo, y ha señalado a los clientes la aplicación móvil del banco como un canal directo para verificar si su cuenta fue afectada y qué pasos seguir — incluyendo revisar las notificaciones dentro de la aplicación, usar los controles de bloqueo/congelamiento de tarjetas, y monitorear las transacciones en busca de cualquier cargo no autorizado.

Sea cual sea el alcance total que finalmente tenga este incidente, el mismo ofrece un panorama útil y real de cómo puede verse en la práctica el lado de la respuesta de una notificación bajo la Ley 111: un canal específico y accesible para que los clientes obtengan respuestas, junto con un paso de remediación real (el reemplazo de tarjetas) en lugar de solamente notificarles la situación.

La Ley 111 Contiene Requisitos Específicos — y Acciones Inmediatas

  • La notificación a los residentes afectados debe realizarse “de la manera más expedita posible”, tomando en cuenta la necesidad de las agencias del orden público de asegurar evidencia y de restaurar la seguridad del sistema.
  • Las partes responsables deben informar a DACO (el Departamento de Asuntos del Consumidor de Puerto Rico) dentro de los 10 días de haber detectado la violación — un plazo que la Ley 111 califica como “improrrogable”.
  • Una vez DACO recibe dicha información, debe hacer un anuncio público dentro de las 24 horas siguientes.
  • La notificación en sí debe ser clara y conspicua, describir la violación de seguridad en términos generales junto con el tipo de información sensitiva involucrada, e incluir un número de teléfono libre de cargos o un sitio web para más información.
  • Si la notificación directa cuesta más de $100,000 o afecta más de 100,000 personas, la Ley 111 permite en su lugar una notificación sustituta mediante un anuncio prominente en el negocio y en su página web, además de notificación a los medios de comunicación.

La Penalidad — Hasta $5,000 en Multas, Pero Ilimitada en los Tribunales

Bajo el Artículo 10 de la Ley 111, el Secretario del DACO puede imponer multas de $500 a $5,000 por cada violación. Sin embargo, este artículo también establece que estas multas no sustituyen el derecho del consumidor a demandar por separado por daños en los tribunales. Para una violación de seguridad que afecte a miles de tarjetahabientes como esta, la multa administrativa probablemente será la menor de sus preocupaciones, ya que la exposición agregada de litigios privados es donde realmente residirá el riesgo financiero.

¿Por Qué Debe Importarte Esto?

  • La Ley 111 no aplica solamente a los “bancos grandes”. Cualquier negocio — por ejemplo, un consultorio médico, un bufete de abogados, un comercio minorista, una escuela — que mantenga una base de datos de clientes con nombres combinados con números de Seguro Social, números de cuenta o credenciales de acceso, está obligado a cumplir con la Ley 111.
  • Las violaciones de seguridad de tus proveedores son, legalmente, tus violaciones. Si un procesador de pagos, un proveedor de servicios en la nube, o cualquier proveedor que utilices sufre una violación de seguridad, la cadena de la Ley 111 implica que la obligación de notificar a tus propios clientes puede recaer sobre ti, no sólo sobre el proveedor — por lo que saber cuáles de tus proveedores manejan este tipo de información importa antes de un incidente, no después.
  • El reloj de 10 días de DACO no perdona. “Improrrogable” significa exactamente eso. Un negocio que no tenga ya un plan de respuesta a incidentes que establezca quién hace qué dentro de ese plazo, estará compitiendo contra el reloj por primera vez en el peor momento posible.
  • La protección con contraseña por sí sola no te exime. La Ley 111 específicamente requiere algo más allá de una contraseña — en fin, protección encriptada — antes de que los datos queden fuera del requisito de notificación. Muchos negocios pequeños asumen que “protegido con contraseña” es suficiente. La Ley 111 claramente establece que ese no es el caso.

¿Está Tu Negocio Preparado para Manejar una Violación de Seguridad? Aquí Hay Algunas Cosas Que Puedes Empezar a Hacer Hoy.

  • Conoce exactamente cuáles de sus proveedores manejan información personal de residentes de PR, y redacta contratos con proveedores que les exijan notificar de inmediato — idealmente dentro de 24 horas — de cualquier violación de seguridad. No podrás cumplir con el plazo de 10 días de DACO si eres es el último en enterarte.
  • Ten un plan de notificación de violaciones de seguridad listo antes de necesitarlo — el plan debe contener modelos de notificaciones, un punto de contacto designado, y una ruta clara de escalamiento interno para que el plazo de 10 días no se gaste investigando quién está a cargo de qué.
  • Encripta y protege toda información sensitiva – la protección con contraseña no es suficiente. El cifrado será su mejor defensa para cumplir con la Ley 111 y proteger tu negocio.
  • No asumas que decir que “no hay evidencia de uso indebido” termina el asunto y evita responsabilidad — el deber de notificar se activa por el acceso no autorizado en sí, no por la existencia de prueba que concluya que los datos fueron usados indebidamente.

En Resumen

La situación de Evertec/Oriental es una lamentable ilustración de exactamente la cadena que los legisladores de Puerto Rico anticiparon en el 2005: una violación de seguridad de un proveedor que fluye hacia notificaciones bancarias, supervisión del DACO, y divulgación pública. Sea cual sea el resultado de este caso específico, la lección más amplia se mantiene para cualquier negocio que maneje información personal de residentes de Puerto Rico: esta ley aplica seas o no un banco, el reloj comienza en el momento que detectas la violación de seguridad, y “no lo sabíamos porque nuestro proveedor no nos avisó a tiempo” no es una defensa permitida por ley.

Si deseas asegurarte de que tu negocio cumpla con las leyes de privacidad y seguridad de datos de Estados Unidos y Puerto Rico — incluyendo tener un plan de notificación de violaciones de seguridad que cumpla con los plazos de la Ley 111 — puedes reservar una cita con nosotros hoy. Te ayudaremos a mapear tus datos, tus proveedores, y establecer tus obligaciones antes de que un incidente te obligue a aprenderlas de la forma más difícil.

[2026-07-13]

¿Quieres Saber si las Leyes de Puerto Rico Ofrecen Algún Beneficio Para Abrir u Operar tu Propio Negocio?

Posted by Jaime Farrant on with 0 Comment

¿Quieres abrir un negocio en Puerto Rico pero te preocupa que tengas que pagar muchos impuestos? Si este es el caso, debes conocer de la Ley 60 del 1 de julio de 2019, conocida como el Código de Incentivos de Puerto Rico. Esta ley ofrece un número de incentivos y beneficios a personas que deseen comenzar uno o más de los negocios cubiertos por la ley. Los incentivos que vamos a mencionar en este post se encuentran en dicha ley, y están disponibles tanto para personas nacidas en Puerto Rico como en cualquier otro lugar del mundo. Los mismos son:

  1. Jóvenes Emprendedores/Empresarios – este incentivo es para personas entre los 16 y 35 años de edad, y ofrece a estas personas una exención total de impuestos sobre bienes muebles e impuestos municipales, y una exención de impuestos sobre los primeros $500,000.00 de los ingresos netos del negocio durante los primeros 3 años de obtener un decreto aprobando el incentivo.
  2. Exportación de Servicios y Bienes – este incentivo provee unas tasas contributivas preferenciales a empresas que brinden servicios o consultoría a personas o negocios fuera de Puerto Rico en asuntos que no tengan ninguna conexión con la isla.
  3. Industrias Creativas – este incentivo provee ayudas contributivas a actividades relacionadas con la industria del cine y filmación.
  4. Incentivos para Agricultura – este incentivo da beneficios contributivos a negocios agrícolas en Puerto Rico, ya sean de frutas, vegetales, leche, animales, negocios agropecuarias o agroindustriales, entre otros.
  5. Infraestructura y Energía Verde – estos ayudan a negocios que realizan trabajos de construcción en zonas históricas, rehabilitan o construyen viviendas para familias de ingresos bajos o moderados, o personas de edad avanzada, o productores de proyectos de energía verde, entre otros.
  6. Economía del Visitante – este incentivo ayuda a empresas que brinden ciertos servicios en la industria del turismo.
  7. Empresas PYMES Nuevas – la Ley 60 concede varios beneficios contributivos a pequeñas y medianas empresas nuevas, o ciertos negocios que operen en Vieques y Culebra.
  8. Manufactura – este incentivo beneficia a empresas que traigan negocios de manufactura, investigación y desarrollo (“Research and Development”) a Puerto Rico.
  9. Empresas de Transporte – este incentivo da beneficios contributivos a entidades que proveen servicios de transporte aéreo o marítimo, entre otros.

Esta no es una lista exhaustiva, ya que esta ley ofrece otros beneficios a otras industrias, además de las mencionadas aquí.

Si estás interesado en abrir tu propia empresa en Puerto Rico, es importante que conozcas de estos incentivos, para saber como pueden ayudarte a crecer más rápidamente o reducir tus costos. Si piensas abrir un negocio, o quieres saber si estos beneficios pueden ayudar tu negocio existente, llama o escríbenos para conversar contigo sobre los mismos y determinar cómo podemos ayudarte a obtener incentivos que te ayuden a establecer y dirigir exitosamente tu negocio.

v. 2023-03-07

Cómo establecer y operar un alojamiento a corto plazo en Puerto Rico

Posted by Jaime Farrant on with 0 Comment

Por: Jaime Farrant, LL.M.

¿Te interesa preparar una propiedad en Puerto Rico para alquilarla a turistas locales o extranjeros, ya sea por tu cuenta o usando plataformas como Airbnb? Si la respuesta es sí, aquí puedes conocer más sobre algunos de los pasos más importantes que necesitas tomar para poder comenzar a recibir huespedes:

  1. Crear una persona jurídica – Al incorporarte, estás creando una “persona jurídica”, lo cual, como regla general, te protege de responsabilidad en caso que te demanden por un daño ocurrido en la propiedad. Las leyes puertorriqueñas establecen varias formas de incorporación, para que escojas la que más te convenga.
  2. Inscribirte en Hacienda – Necesitarás obtener un Registro de Comerciante para poder operar tu empresa y obtener los permisos requeridos.
  3. Obtener un Permiso de Uso – tendrás que solicitar un permiso de uso con la Oficina de Gerencias y Permisos.
  4. Registrarte en tu Municipio – Recuerda que tendrás que registrarte en el Municipio para pagar patentes municipales. Además, si tu propiedad está en el Municipio de Dorado, tendrás que cumplir con la Ordenanza Núm. 7 del 27 de enero de 2021. Hay otros municipios contemplando crear sus propias ordenanzas en este tema, así que, tendrás que darle seguimiento a los municipios o contratar un abogado que lo haga por tí.
  5. Investigar si calificas para algún incentivo económico.
  6. Registrarte como hostelero con la Compañía de Turismo.
  7. Registrarte con Airbnb o con las plataformas que desees anunciar tu propiedad.
  8. Cumplir con el Reglamento de Hospederías de Puerto Rico, en particular, con su capítulo VIII. Este Reglamento dispone, por ejemplo, que no puedes tener más de 6 unidades para alquilar en una estructura.
  9. Comenzar a operar el alojamiento.
  10. Retener el 7% de impuesto por ocupación e informarlo a Turismo en la Declaración Mensual de Impuestos. Si te registras con Airbnb, ellos hacen esta deducción directamente de la reservación.

Como ves, el proceso para operar un Airbnb es bastante complejo y extenso. En Farrant LLC, estamos disponibles para asesorarte y representarte durante todo este proceso necesario para que puedas operar este negocio. Escribe o llámanos hoy para sacar una cita y conversar sobre como te podemos ayudar.

v. 2023-02-25

USCIS announces TPS for Afghanistan and Ukraine nationals

Posted by Jaime Farrant on

On March 16, 2022, USCIS announced that Afghan nationals that are living in the United States as of March 15, 2022 can request Temporary Protected Status (“TPS”) for an 18 month period. This is a special designation that allows them to work legally and not be removed from the United States.

On March 3, 2022, USCIS also stated that Ukraine nationals that have lived in the US since March 1, 2022 or before, can apply for TPS as well.

You are welcome to reach out to us today to see how we can help you obtain this benefit.

USCIS extending legal status to 24 Months to Persons Seeking to Remove Conditions on Their Permanent Residence

Posted by Jaime Farrant on

USCIS made an announcement on September 3 that will impact persons that file (or have filed) a petition to remove conditions on residence (I-751 or I-829 Forms) in order to acquire permanent status. Starting on September 4, 2021, persons that properly file a I-751 or I-829 form will now receive a receipt notice that will be valid as proof of status for 24 months past the expedition date on their Permanent Resident Card (what is known as a “Green Card”). Until this announcement, the receipt notice would give status for up to 18 months.

USCIS also announced that they will send new receipt notices giving the 24 month period to persons who filed I-751 or I-829 forms before September 4, 2021 that have their cases pending cases.

If you are interested in knowing how this new policy affects you, or have other immigration questions, please contact us today to schedule a consult. We are ready to answer your questions.