Author: Jaime Farrant

¿Puedo usar ChatGPT para poner a Bad Bunny en promociones de mi negocio en las redes sociales?

Posted by Jaime Farrant on with 0 Comment

¿Estás dispuesto a pagar $100,000 por promocionar tu negocio?

Mientras escribo este artículo, las redes sociales en Puerto Rico han explotado con el anuncio del cierre de la gira mundial de Bad Bunny el 22 y 23 de agosto en el Estadio Hiram Bithorn. La cantidad de posts sobre este anuncio y conciertos me recordaron las diversas promociones publicadas en Facebook, Instagram y TikTok en los pasados meses por muchos restaurantes, barras y negocios pequeños de Puerto Rico, la cual consistía de una foto de Bad Bunny supuestamente comiendo en su restaurante, o tomándose una cerveza en la barra. El detalle es que Bad Bunny nunca comió o bebió en esos lugares, y mucho menos se retrató en ellos. Eran imágenes generadas con herramientas de Inteligencia Artificial como ChatGPT o Claude, publicadas sin su consentimiento, y con un propósito clarísimo: promocionar un negocio y atraer clientes usando la imagen de quizás la persona actualmente más reconocida del país. Ningún negocio le pagó licencia, pidió permiso, o tuvo que responder a preguntas sobre las promociones.

Hace apenas unos meses, en Puerto Rico no era claro si ese tipo de imagen generada por IA violaba algún derecho de la persona cuya imagen era utilizada. Sin embargo, hoy día, esta pregunta ha sido contestada.

El pasado 2 de julio de 2026, la Gobernadora Jenniffer González firmó la Ley Núm. 163-2026, la cual enmienda la “Ley del Derecho sobre la Propia Imagen” (Ley 139-2011) para atender directamente el problema de los “deepfakes” en Puerto Rico. Aquí te explico qué cambió con esta nueva ley, qué sigue igual, y cómo compara ésta con lo que están haciendo otros estados de EE.UU. y la Unión Europea.

¿Qué Cambió Exactamente?

La Ley 139 llevaba 15 años protegiendo tu “Imagen” — definida como tu nombre, fotografía, retrato, voz, firma o cualquier representación que te identifique — contra el uso comercial no autorizado por terceras personas. El problema es que esa ley fue pasada en el 2011 pensando en fotografías, videos y grabaciones reales, no en contenido generado por algoritmos y sistemas de IA.

La Ley 163 atendió esa laguna enmendando el Artículo 2(c) de la Ley 139, cambiando su definición de “Imagen” para incluir expresamente representaciones generadas a través de Inteligencia Artificial Generativa: contenido audiovisual, auditivo o multimedia creado por algoritmos o modelos de IA, en forma digital, clonada, simulada o alterada, que reproduzca o emule —total o parcialmente— tu apariencia, voz, movimiento, gestos o cualquier otro atributo identificable.

En otras palabras, aunque no cambió la prohibición en Puerto Rico del uso no autorizado de tu imagen que reconoció nuestro Tribunal Supremo en el caso Vigoreaux Lorenzana vs. Quiznos, el cual estableció que el uso no autorizado de la imagen de una persona para fines comerciales constituye una violación al derecho a la intimidad y al derecho patrimonial de publicidad, la Ley 163 sí cambió el objeto protegido — ahora un deepfake cae dentro de esa protección tanto como una fotografía real. Esas fotos de Bad Bunny comiendo en un restaurante boricua, que antes vivían en una zona gris, hoy día son “deepfakes” que encajan directamente en la definición de “Imagen” del Artículo 2(c), y por tanto, violan la ley.

¿Cómo Funciona esta Ley en la Práctica?

Para que un deepfake sea sancionable bajo la Ley 163, tiene que cumplir con el mismo requisito que siempre ha existido en el Artículo 3: uso con fines comerciales, mercantiles o publicitarios, sin tu consentimiento. Esto es clave — la ley no prohíbe todos los deepfakes, sino específicamente aquellos que explotan tu imagen para vender, anunciar o promocionar algo.

Si se cumple ese requisito, el Artículo 4, además de permitirte solicitar un interdicto en un tribunal para prohibir la difusión de los deepfakes, da 2 posibles remedios:

  • Daños compensatorios, calculados según el beneficio que obtuvo el infractor, lo que tú dejaste de ganar, o el menoscabo causado — los cuales el tribunal puede triplicar si la violación fue intencional o de mala fe.
  • Daños estatutarios, entre $750 y $20,000 por violación, cantidad que el tribunal puede aumentar hasta $100,000 por violación si hubo intención o negligencia crasa.

A esto se suman las costas y honorarios de abogado a tu favor si ganas el caso, y el hecho de que estos remedios son adicionales a cualquier otro remedio disponible bajo una ley estatal o federal.

Los derechos concedidos por esta ley duran hasta 25 años después de tu muerte (Artículo 6), tienes sólo 1 año desde que conociste o debiste conocer los hechos para demandar (Artículo 7), y hay excepciones para noticias, sátira, parodia, crítica académica y personas accesorias (Artículo 8). Un dato importante para quienes trabajan con medios digitales: el Artículo 10 exime de responsabilidad a plataformas y medios que publiquen el deepfake, a menos que se demuestre que sabían que el uso no estaba autorizado — es un estándar de conocimiento, no responsabilidad estricta.

¿Cómo Compara la ley de Puerto Rico con Otras Jurisdicciones?

Puerto Rico no es el único lugar enfrentando este problema, y a continuación, presentamos como otros lugares lo están atendiendo con distintos enfoques:

  • California (AB 1836 y AB 2602): California decidió legislar específicamente sobre “réplicas digitales” en el contexto del entretenimiento. La AB 1836 extiende el derecho de publicidad póstumo para cubrir réplicas digitales de personas fallecidas, con daños mínimos de $10,000. Por otro lado, la AB 2602 invalida cláusulas contractuales que permiten usar una réplica digital de un actor, artista o intérprete (“performer”) vivo sin su consentimiento informado y representación legal adecuada. Es un enfoque nacido de disputas laborales en Hollywood, enfocado en actores y su industria, no en la población general.
  • Nueva York: tomó dos rutas paralelas. Primero, expandió su ley de derecho de publicidad póstumo (Civil Rights Law § 50-f) para cubrir réplicas digitales de artistas fallecidos domiciliados en el estado, y por separado aprobó la “Digital Replica Contracts Act” (General Obligations Law § 5-302), la cual invalida cláusulas contractuales que permiten sustituir la actuación real de un performer vivo por una réplica digital sin representación legal adecuada. Segundo — y esto es más novedoso — aprobó la “Synthetic Performer Disclosure Law” (General Business Law § 396-b), la cual entró en vigor el 9 de junio de 2026, que exige divulgación conspicua cuando un anuncio usa un “performer sintético” generado por IA, e impone multas civiles de $1,000 por la primera violación y $5,000 por cada una subsiguiente. Es un enfoque de transparencia y de contrato, no solo de daños.
  • Maryland y Washington D.C.: vale la pena mirar también hacia jurisdicciones que se han quedado atrás. Maryland no tiene derecho de publicidad —ni estatutario ni de common law— y su única ley de deepfakes vigente (SB 141 de 2026) regula exclusivamente el contexto electoral, no el comercial; un proyecto que sí habría cubierto usos comerciales de IA (HB 1425/SB 905) no logró aprobarse y sigue pendiente como HB 184, el cual no ha sido aprobado al momento de la redacción de este artículo. Por otro lado, Washington D.C. tampoco tiene un estatuto específico, y acciones por daños sufridos por deepfakes se basan en la doctrina de “misappropriation” bajo common law (Vassiliades v. Garfinckel’s, Brooks Bros., 492 A.2d 580 (D.C. 1985)), que exige probar que el demandado se benefició de tu identidad y que ésta tiene un valor público o comercial reconocible, o bajo estatutos de robo de identidad o fraude — un estándar más incierto que una causa de acción estatutaria clara como la de la Ley 139 de 2011 de Puerto Rico. Para un negocio en Maryland o D.C., esto significa que un deepfake no autorizado que está siendo usado para fines comerciales es mucho más difícil de detener o sancionar legalmente que en Puerto Rico, California o Nueva York.
  • Unión Europea (EU AI Act, Artículo 50): aquí la lógica es completamente distinta a la de Puerto Rico y California. La UE no crea una causa de acción por daños; en su lugar, impone una obligación de transparencia. Quien despliegue una IA que genere o manipule contenido de imagen, audio o video que constituya un deepfake debe divulgar que ese contenido fue generado o alterado artificialmente, salvo que forme parte de una obra evidentemente artística, satírica o de ficción, en cuyo caso la divulgación puede ser más discreta. El incumplimiento puede acarrear multas de hasta 15 millones de euros o 3% de la facturación mundial de la empresa, lo que sea mayor.

Al revisar estas leyes, vemos contrastes claros: California y Puerto Rico responden estableciendo con causas de acción privadas y daños económicos después de la publicación; Nueva York añade una capa de divulgación obligatoria en publicidad; la UE regula desde el lado del despliegue tecnológico, exigiendo que se etiquete el contenido sintético independientemente de si hay o no un reclamo de imagen; y Maryland y D.C. muestran el otro extremo — jurisdicciones sin marco claro, donde un negocio o una persona afectada tiene que apoyarse en doctrina de common law incierta, sin daños estatutarios predefinidos ni un plazo de prescripción codificado. Un negocio con presencia en varias de estas jurisdicciones enfrenta niveles de exposición y de protección legal muy distintos según dónde ocurra el uso no autorizado.

¿Por Qué Debe Importarte Esto?

Porque si tu negocio decide usar ChatGPT o Claude esta semana para generar contenido publicitario con imágenes de Bad Bunny generadas por IA, podrías conocer al “Conejo Malo” formalmente cuando te demande a ti y a todos los restaurantes y bares que usaron su imagen generada por IA, ya que ahora tiene una herramienta legal clara para hacerlo, y podrías tener que pagarle daños estatutarios de hasta $100,000 por violación si el uso fue intencional. Y no hace falta que sea una figura de la talla de Bad Bunny — el mismo riesgo aplica si usas la imagen generada por IA de cualquier persona identificable, sea famosa o no.

Además, si eres una figura pública, un influencer, o simplemente alguien con presencia digital en Puerto Rico, esta ley te da una herramienta legal concreta —y con daños estatutarios significativos— para actuar contra el uso no autorizado de tu imagen sintética con fines comerciales.

¿Cómo Puedo Cumplir con la Ley?

  • Si usas herramientas de IA generativa en tu marketing, verifica que el contenido producido no reproduzca de forma reconocible la apariencia, voz o gestos de una persona real sin su consentimiento.
  • Obtén consentimiento escrito específico antes de crear o usar cualquier representación generada por IA de un empleado, cliente, o figura pública en materiales comerciales o publicitarios.
  • Si trabajas con plataformas o medios digitales, documenta tu proceso de revisión de contenido — el Artículo 10 de la Ley 139 te protege solamente si puedes demostrar que no sabías del uso no autorizado.
  • Si operas también en California o Nueva York, revisa por separado los requisitos contractuales (AB 2602) y de divulgación en publicidad de esos estados — no son intercambiables con el estándar de Puerto Rico.
  • Si tu negocio opera en Maryland o Washington D.C., ten presente que ahí no existe una causa de acción estatutaria clara para deepfakes comerciales — cualquier reclamo se interpretará bajo la doctrina de common law, así que la prevención (con consentimiento documentado) importa aún más que en jurisdicciones con leyes expresas.
  • Si tu contenido llega a audiencias en la Unión Europea, evalúa si necesitas cumplir con los requisitos de divulgación bajo el Artículo 50 del EU AI Act, independientemente si haya o no un reclamo contra el uso de la imagen.

En Resumen

La Ley 163 no crea un derecho nuevo, sólo actualiza uno que Puerto Rico ya tenía desde 2011 para cubrir expresamente el contenido generado por Inteligencia Artificial. La aplicación principal sigue siendo la misma: prohibir el uso comercial o publicitario sin consentimiento. Lo que cambia es que ahora no hace falta debatir si un deepfake “cuenta” como imagen — la ley lo dice explícitamente. Si tu negocio produce o distribuye contenido con IA generativa, este es el momento de revisar tus procesos de consentimiento y divulgación, antes de que sea un tribunal quien te lo señale.

¿Tu negocio usa herramientas de IA generativa en su publicidad o contenido de marca? Agenda una consulta con nosotros hoy para conocer más sobre tu negocio, sus promociones, y asegurarnos que tu contenido cumple con todas las leyes aplicables. 

OFERTA ESPECIAL PARA NUESTROS LECTORES DE PUERTO RICO

¿Trabajas para una empresa puertorriqueña que usa imágenes generadas por IA en sus promociones y quieres saber si estás cumpliendo con la ley? Por un tiempo limitado, puedes programar una evaluación de 15 minutos GRATIS para conversar sobre tus promociones siguiendo este link. 

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración. Las leyes citadas para redactar este artículo estaban vigentes al 15 de agosto de 2026.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

Can I Use AI to Review Résumés and Hire Employees?

Posted by Jaime Farrant on with 0 Comment

You’re hiring for several positions. You get 105 résumés for a single role and you don’t have time to read them all. You mention your situation to a colleague and they say: “use ChatGPT” or “there’s an AI tool that screens résumés for you.” It sounds perfect. You save hours, cut down on administrative tasks, get to the candidates who actually fit the role faster, and you can return to your “real” work more quickly.

However, there is an important question almost nobody asks before uploading résumés to an AI tool for screening: who’s responsible if the AI discriminatorily screens out candidates, even if you never intended it to discriminate?

The short answer: you are. The employer. Not the company that sold you the software.

Why Isn’t This Just an AI Problem?

U.S. employment and discrimination laws — Title VII of the Civil Rights Act, the Age Discrimination in Employment Act (ADEA), the Americans with Disabilities Act (ADA) — weren’t written with algorithms in mind, but they don’t need to be updated to apply. What matters under these laws isn’t how a decision to screen out a candidate was made, but whether the outcome had a disparate impact on a protected category, which can include sex, race, age, national origin, or disability, among others.

AI tools known as “Automated Employment Decision Tools” (“AEDTs”) can filter résumés by keyword, score video interviews by analyzing speech patterns and facial expressions, and rank candidates, among other tasks. The problem is that these systems are built by “training” them on historical hiring data, and if that data reflects past biases — for example, fewer women hired into engineering roles — the tool can replicate that bias at scale, quietly, with no one noticing it until a complaint arrives.

New York City was one of the first jurisdictions to regulate this. Its AEDT law (Local Law 144) requires that, before using one of these tools, an employer must conduct an independent bias audit, publish the results, and notify candidates that AI is being used in the process — and giving them the option to request an alternative process. That audit must calculate selection rates and “impact ratios” by sex, race/ethnicity, and intersectional categories. The law applies even if the AI is only used at an early stage of the process, such as scheduling interviews, and not for the final hiring decision.

Illinois has its own law (the AI Video Interview Act), which requires notifying candidates when AI is used to analyze video interviews. Colorado, under its privacy law rules, requires risk assessments and an opt-out right when an “AEDT” is used with legal or significant effects on a person. California is moving in the same direction with its regulations under CCPA.

As of this publication, Puerto Rico does not have a specific law on bias audits for AI hiring tools. That doesn’t relieve you of responsibility, though. On one hand, federal law still applies, and the Equal Employment Opportunity Commission (EEOC) has made clear that employers are responsible for the discriminatory impact of the tools they use, regardless of who programmed them. On the other hand, our own Law No. 100 of June 30, 1959, which prohibits discrimination in employment, applies here too, even though it doesn’t contain the word “algorithm.” In our next article, we’ll discuss in detail how a violation of Law 100 could bring serious consequences.

Why Should You Care?

Because liability for discrimination generated by AI is yours, not the software vendor’s. If you buy or subscribe to an AI tool to filter résumés and that tool ends up disproportionately screening out candidates over 40, women, or people with names the system (incorrectly) associates with lower English proficiency, you’ll be the employer sued — not the software company.

Think about it from the practical standpoint of a small business or a clinic in Puerto Rico:

  • You don’t have a large legal department to review these software contracts.
  • You probably don’t know what data the tool was trained on.
  • It’s easy to assume that “if a big company sells it, it must be legal to use this way, no further questions asked.”

That last point is the most common mistake. No AI tool comes with a guarantee of legal compliance for your jurisdiction and your industry. The responsibility for making sure your hiring process doesn’t discriminate — whether AI is involved or not — is still yours.

There’s also an additional practical problem: if a rejected candidate asks why they weren’t selected, or files a complaint, can you explain how the process worked? If your only answer is “ChatGPT decided who we should select,” that’s not a legal defense. In fact, it’s evidence that there was no adequate human oversight.

How Can I Comply with the Law?

This doesn’t mean you should avoid AI in your hiring process. It means you need to use it with the same controls you’d apply to any important employment decision, with some of them being:

  1. Investigate the tool before using it. Ask the vendor whether an independent bias audit has been done, when the most recent one was, and whether they’re willing to share those results with your candidates if asked.
  2. Never let the AI have the final word. Use the tool to organize or prioritize, not to automatically reject candidates without human review. A human being should be able to explain and justify every decision.
  3. Notify candidates. Even though Puerto Rico doesn’t yet require it by law, it’s good practice — and a legal defense — to disclose in the job posting that AI technology will be used as part of the evaluation process.
  4. Document the process. Keep records of which tool you used, what criteria the system applied, and what human review took place before each rejection. If no one ever asks, you’ve lost nothing. If they do ask, that documentation is your defense.
  5. Have an alternative process. If a candidate doesn’t want their application evaluated by AI, set up a process where a person reviews their résumé directly.
  6. Review your vendor contract. Who’s responsible if the tool produces a discriminatory outcome? Do you have the right to audit how it works? These clauses are rarely negotiated, but you should try.

The Bottom Line

AI can genuinely save you time in the hiring process, and there’s nothing wrong with using it. The problem isn’t the technology — it’s treating it as if it were neutral, infallible, or someone else’s responsibility. If an AI tool screens out candidates in discriminatory ways, the law holds you, the employer, responsible. Use it as a support tool, keep human oversight on every decision, document your process, and verify — before you buy, not after a complaint — what controls the tool you’re using actually has.

Are you using or considering using AI in your hiring process and aren’t sure whether your current process exposes you to legal risk? Let’s talk. Schedule a consultation here.

About the Author

Jaime Farrant is admitted to practice law in Puerto Rico, New York, Maryland and the District of Columbia. This article is for informational purposes only and does not constitute legal advice or create an attorney-client relationship.

ADVERTISING MATERIAL. This article constitutes advertising as defined by the professional conduct rules in New York (22 NYCRR 1200.7.1 and 1200.7.3), Maryland (Rule 19-307.1 and 19-307.2), and the District of Columbia (D.C. Rules of Professional Conduct 7.1), and the Puerto Rico Rules of Professional Conduct (Rules 7.1-7.3). It is not solicitation of prospective clients known to need legal services in a particular matter. Instead, it is general information directed to the public about the practice of law and available legal services. No attorney-client relationship is created by your reading of this article or by contacting the author. Consult qualified counsel in each jurisdiction with specific situations.

¿Puedo Usar Inteligencia Artificial Para Revisar Resumés y Contratar Empleados?

Posted by Jaime Farrant on

Estás contratando empleados para varias posiciones. Te llegan 105 resumés para un solo puesto y no tienes tiempo de leerlos todos. Comentas a un colega tu situación y te responde: “usa ChatGPT” o “hay una herramienta de IA que revisa los resumes por ti.” Suena perfecto. Ahorras horas, reduces tu trabajo administrativo, y llegas más rápido a los candidatos que realmente encajan con la plaza, y puedes volver a tu trabajo “normal”.

Sin embargo, aquí está la pregunta que casi nadie se hace antes de subir los resumes a la IA para que los evalúe: ¿quién responde si la IA descarta candidatos de forma discriminatoria, aunque tú nunca hayas querido que discrimine?

La respuesta corta: tú. El patrono. No la empresa que vendió el software.

¿Por Qué Esto No Es Sólo un Problema de la IA?

Las leyes de empleo y discriminación en Estados Unidos —el Título VII de la Ley de Derechos Civiles, la Ley de Discrimen por Edad en el Empleo (ADEA), la Ley de Estadounidenses con Discapacidades (ADA)— no se escribieron pensando en algoritmos, pero no necesitan actualizarse para aplicar. Lo que importa para estas leyes no es cómo se tomó la decisión de descartar a un candidato, sino si el resultado tuvo un impacto discriminatorio (“disparate impact”) sobre una categoría protegida, las cuales pueden incluir sexo, raza, edad, origen nacional o discapacidad, entre otras.

Las herramientas de IA conocidas como “Automated Employment Decision Tools” (“AEDT”, por sus siglas en inglés) puede filtrar resumés buscando palabras clave, calificar entrevistas en video analizando patrones de habla y expresiones faciales, o darle puntaje a los candidatos. El problema es que estos sistemas son preparados “enseñándoles” datos históricos de contratación, y si esos datos reflejan sesgos pasados —por ejemplo, menos mujeres contratadas en roles de ingeniería— la herramienta puede replicar ese sesgo a gran escala, de forma silenciosa y sin que nadie lo note hasta que llegue una querella.

La ciudad de Nueva York fue una de las primeras jurisdicciones en regular esta situación. Su ley de AEDT (Local Law 144) exige que, antes de usar una de estas herramientas, el patrono realice una auditoría de sesgo (“bias audit”) independiente, publique los resultados, y notifique a los candidatos que se está usando IA en el proceso — y darles la opción de solicitar un proceso alterno. Esa auditoría debe calcular tasas de selección e “impact ratios” por categoría de sexo, raza/etnicidad y categorías interseccionales. Esta ley aplica aunque la IA sólo se use para una etapa temprana del proceso, como agendar entrevistas, y no para la decisión final de contratación.

Illinois tiene su propia ley (AI Video Interview Act), la cual exige notificar a los candidatos cuando se usa IA para analizar entrevistas en video. Colorado, bajo las reglas de su ley de privacidad, exige evaluaciones de riesgo y derecho a exclusión (opt-out) cuando se usa “AEDT” con efectos legales o significativos sobre una persona. California está avanzando en la misma dirección con sus regulaciones bajo la CCPA.

Al momento de esta publicación, Puerto Rico no tiene una ley específica sobre auditorías de sesgo en herramientas de IA para contratación. Sin embargo, esto no te libera de responsabilidad. Por un lado, las leyes federales sí aplican, y la Comisión de Igualdad de Oportunidades en el Empleo (EEOC) ha dejado claro que los patronos son responsables por el impacto discriminatorio de las herramientas que usan, sin importar quién las programó. Por otro lado, nuestra Ley Núm. 100 de 30 de junio de 1959 contra el discrimen en el empleo aplica en estos casos, aún cuando la misma no contiene la palabra “algoritmo”. En la segunda parte de este artículo, discutiremos en detalle como una violación a la Ley 100 podría traerte serias consecuencias.

¿Por Qué Debe Importarte Esto?

Porque la responsabilidad por el discrimen que genere la IA es tuya y no del vendedor del software. Si compras o te suscribes a una herramienta de IA para filtrar currículums y esa herramienta termina descartando desproporcionadamente a candidatos mayores de 40 años, mujeres, o personas con nombres que el sistema asocia (erróneamente) con menor competencia en inglés, tú serás el patrono demandado, no la empresa de software.

Piénsalo desde el punto de vista práctico de un negocio pequeño o una clínica en Puerto Rico:

  • No tienes un departamento legal grande para revisar estos contratos de software.
  • Probablemente no sabes qué datos usó la herramienta para “entrenarse.”
  • Es fácil asumir que “si lo vende una empresa grande, debe ser legal usarlo así, sin más.”

Ese último punto es el error más común. Ninguna herramienta de IA viene con garantía de cumplimiento legal para tu jurisdicción y tu industria. La responsabilidad de verificar que el proceso de contratación no discrimine —usando IA o no— sigue siendo tuya.

Además, hay un problema práctico adicional: si un candidato rechazado solicita saber por qué no fue seleccionado, o presenta una querella, ¿puedes explicar cómo funcionó el proceso? Si tu única respuesta es “ChatGPT lo decidió,” eso no es una defensa legal. Es, de hecho, evidencia de que no hubo supervisión humana adecuada.

¿Cómo Puedo Cumplir con la Ley?

Esto no significa que debas evitar la IA en tu proceso de contratación. Significa que debes usarla con los mismos controles que aplicarías a cualquier decisión de empleo importante.

  1. Investiga la herramienta antes de usarla. Pregúntale al vendedor si se ha hecho una auditoría de sesgo independiente, cuándo fue la más reciente, y si están dispuestos a compartir esos resultados con tus candidatos si te lo piden.
  2. Nunca dejes que la IA tenga la última palabra. Usa la herramienta para organizar o priorizar, no para descartar automáticamente sin revisión humana. Un ser humano debe poder explicar y justificar cada decisión de exclusión.
  3. Notifica a los candidatos. Aunque Puerto Rico no lo exija todavía por ley, es una buena práctica —y una defensa legal— informar en la oferta de empleo que se usará tecnología de IA en parte del proceso de evaluación.
  4. Documenta el proceso. Guarda registros de qué herramienta usaste, qué criterios aplicó el sistema, y qué revisión humana se hizo antes de cada rechazo. Si nunca te preguntan, no perdiste nada. Si te preguntan, esa documentación es tu defensa.
  5. Ten un proceso alterno. Si un candidato no quiere que su solicitud sea evaluada por IA, establece un proceso en el que una persona revisa su currículum directamente.
  6. Revisa el contrato con tu vendedor. ¿Quién es responsable si la herramienta produce un resultado discriminatorio? ¿Tienes derecho a auditar cómo funciona? Estas cláusulas casi nunca se negocian, pero debes intentarlo.

En Resumen

La IA puede ahorrarte tiempo real en el proceso de contratación, y no hay nada malo en usarla. El problema no es la tecnología —es tratarla como si fuera neutral, infalible, o responsabilidad de otro. Si una herramienta de IA descarta candidatos de formas discriminatorias, la ley te ve a ti, el patrono, como el responsable. Úsala como una herramienta de apoyo, mantén supervisión humana en cada decisión, documenta tu proceso, y verifica —antes de comprar, no después de una querella— qué controles tiene la herramienta que estás utilizando.

¿Estás usando o considerando usar IA en tu proceso de contratación y no sabes si tu proceso actual te expone a riesgos legales? Conversemos. Agenda una consulta aquí.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

Tu Vendedor de Cámaras de Seguridad Quiere Añadir Una a Tu Baño – ¿Vale la Pena Arriesgar 3 Años de Cárcel por Esto?

Posted by Jaime Farrant on with 0 Comment

Un vendedor de sistemas de seguridad te ofrece un buen negocio: un paquete completo de cámaras para tu oficina o clínica, incluyendo unidades para “cada cuarto” — baños incluidos. ¿Lo debes aceptar esta oferta? La respuesta sencilla es “No“.

Instalar una cámara en un baño no está en una zona gris. En la mayoría de los estados, es un delito específico, una acción civil, o ambos — sin importar si eres dueño del local, si los empleados consintieron a un “monitoreo general” en el trabajo, o si tu intención era puramente prevenir robos.

Todo Tipo de Leyes y Reglamentos Están en Contra de la Oferta de Tu Vendedor

Las leyes de vigilancia por video en Estados Unidos son en práctica un mosaico de estatutos, pero entre ellas hay un principio casi universal: las personas tienen una expectativa razonable de intimidad en espacios donde pueden estar desnudas o parcialmente desvestidas — baños, vestidores y áreas de cambio encabezan esa lista en casi toda jurisdicción.

Las siguientes capas de ley aplican aquí:

1. El vacío de la Ley Federal de Interceptación de Comunicaciones (Wiretap Act) y ECPA no te ayuda aquí. La mayoría de las cámaras de seguridad no graban audio, por lo que generalmente quedan fuera del alcance del Wiretap Act y el Electronic Communications Privacy Act (“ECPA”), ya que esas leyes regulan comunicaciones, no videos silenciosos. Algunos dueños de negocios piensan que “si no hay audio, no hay problema con ECPA” y asumen que eso significa que el video no está regulado. No es así. El silencio en ECPA sobre el video sin audio solo significa que tienes que buscar en otras leyes – y las leyes estatales llenan ese vacío rápidamente, especialmente para los baños.

2. Las leyes estatales prohíben específicamente grabar en baños y áreas de cambio. California, por ejemplo, prohíbe expresamente grabar video en baños, vestidores y lugares donde las personas se cambian de ropa. Muchos estados tienen estatutos similares de “video voyerismo” o “vigilancia ilegal” que criminalizan grabar — o incluso sólo instalar equipo de grabación — en un lugar donde alguien tiene una expectativa razonable de intimidad, sin importar si el material se ve o se usa alguna vez. Estos son frecuentemente delitos graves, y el consentimiento tuyo como dueño del negocio es irrelevante; lo que importa es el consentimiento (o conocimiento) de la persona grabada.

3. Los entornos de salud y otros sectores regulados añaden otra capa. Si diriges una oficina médica, una cámara en el baño también genera problemas colaterales inmediatos: pacientes o empleados visibles en cámara dentro de un baño implica violaciones de dignidad e intimidad que van mucho más allá de las salvaguardas técnicas de HIPAA — es el tipo de situación que termina en una querella ante una junta licenciadora, una noticia en los medios, o ambas.

4. Incluso sin un estatuto específico, el derecho civil común (common law) te alcanzará. Toda jurisdicción en Estados Unidos reconoce alguna versión de la acción de intrusión a la soledad (intrusion upon seclusion): intrusión intencional en los asuntos privados de alguien de una manera que resultaría “sumamente ofensiva para una persona razonable.” Una cámara en el baño es el ejemplo clásico que los tribunales usan para ilustrar este daño. Eso significa que incluso en un estado sin un estatuto criminal específico, un empleado, paciente o cliente que descubra la cámara puede demandarte civilmente — y los jurados tienden a tener poca tolerancia con este tipo de situación.

¿Qué Dicen la Constitución y el Código Penal de Puerto Rico?

Si operas en Puerto Rico, tu exposición es posiblemente mayor que en los 50 estados, ya que el derecho a la intimidad aquí no depende de un mosaico de estatutos estatales y agravios de derecho común. Está escrito directamente en la Constitución.

El Artículo II, Sección 8 de la Constitución de Puerto Rico dispone: “Toda persona tiene derecho a protección de ley contra ataques abusivos a su honra, a su reputación y a su vida privada o familiar.” Más aún, contrario a Estados Unidos, el Tribunal Supremo de Puerto Rico ha resuelto que este derecho constitucgional aplica directamente entre partes privadas, no solo contra la acción gubernamental. En Arroyo v. Rattan Specialties, Inc., 117 D.P.R. 35 (1986), el Tribunal resolvió que el derecho a la intimidad opera ex propio vigore — por su propia fuerza — y puede ser invocado por un ciudadano privado contra otro, incluyendo un patrono contra un empleado. Eso significa que una disputa por una cámara en el baño en Puerto Rico no necesita un estatuto separado para convertirse en una violación constitucional; la propia Constitución resuelve la controversia.

El Código Penal de Puerto Rico respalda esto con una disposición criminal específica. El Artículo 168 del Código Penal de Puerto Rico, titulado “Grabación ilegal de imágenes”, tipifica como delito que cualquier persona, sin justificación legal o sin un propósito investigativo legítimo, utilice equipo electrónico o digital de video — con o sin audio — para realizar vigilancia secreta en lugares privados, o en cualquier otro lugar donde se reconozca una expectativa razonable de intimidad. Un baño es un ejemplo tan claro de esto como puede existir. La convicción por este delito conlleva una pena de reclusión de 3 años, y si la parte convicta es una corporación (o cualquier persona jurídica), enfrenta una multa criminal de hasta $10,000, además de responsabilidad civil.

En conjunto, son 3 problemas legales independientes que se acumulan por aceptar la oferta del vendedor: una violación constitucional a la intimidad que no necesita un estatuto adicional para existir, un estatuto criminal específico que nombra la conducta, y responsabilidad civil por daños. No existe una versión de “no pensamos que esto aplicara” que sobreviva esta situación.

¿Cuánto Te Costará “Hacerlo Mal”?

Si estás comprometido con “proteger” todas las áreas de tu negocio, incluyendo los baños, enfrentas múltiples riesgos y costos reales, particularmente:

  • Responsabilidad criminal: Muchas leyes estatales de video voyerismo o vigilancia ilegal son delitos graves, conllevan multas y posible cárcel para la persona que instala u opera el equipo — que podrías ser tú, personalmente, no sólo “el negocio.”
  • Daños civiles: Las reclamaciones de intrusión a la soledad, entre otras reclamaciones de daños y perjuicios, pueden resultar en daños compensatorios, y los tribunales en Estados Unidos han permitido daños punitivos cuando la conducta se considera grave — una cámara en el baño está cerca de ser el caso paradigmático.
  • Reclamaciones laborales: Si la persona grabada es un empleado, esto podría surgir como una acción legal o administrativa por ambiente hostil de trabajo o despido injustificado si sigue alguna acción disciplinaria tras el descubrimiento.
  • Costo reputacional: A diferencia de una notificación de brecha de datos, este es el tipo de historia que sale en las noticias locales con el nombre de tu negocio en el titular. No hay multa regulatoria que cueste más que la confianza de clientes y pacientes que esto destruye.

¿Por Qué Debe Importarte Esto?

Porque aunque pienses que la oferta que te están haciendo suena razonable, podrías terminar en un gran problema. “Negocio completamente cubierto y protegido” suena como buena práctica de seguridad, y la mayoría de los dueños de negocios que instalan estos sistemas no están tratando de hacer nada invasivo — simplemente están pensando en problemas con entregas, robos, hurto en tiendas y responsabilidad por caídas. Sin embargo, tu buena intención no importa para la mayoría de estos estatutos, y tampoco le importará a un jurado. La ley no pregunta si tuviste buenas intenciones; pregunta si una persona razonable consideraría sumamente ofensivo ser grabada en ese espacio. En un baño, la respuesta ya está decidida.

Este es también un buen momento para auditar todo tu plan de cámaras y seguridad, más allá del baño — porque esa misma conversación con el vendedor es una buena oportunidad para pensar en dónde las cámaras son legalmente correctas (entradas, área de ventas, pasillos, estacionamientos) versus dónde cruzan la línea (baños, áreas de descanso usadas por madres lactantes, oficinas privadas con expectativa de confidencialidad).

¿Qué Puedes Hacer para Cumplir?

  1. Rechaza rotundamente cualquier cámara para baño, vestidor o área de lactancia. No existe aviso, formulario de consentimiento, o rótulo que arregle esto. No la instales, y no dejes que un vendedor la incluya en un paquete “por si acaso cambias de opinión.”
  2. Mapea la ubicación de tus cámaras contra las zonas de expectativa de intimidad. Entradas, cajas registradoras, almacenes, estacionamientos y áreas comunes de trabajo generalmente están bien. Baños, vestidores y oficinas privadas no lo están.
  3. Pon tu política de monitoreo por escrito. Para las cámaras que sí instales, prepara una política escrita — revisada por un abogado — que divulgue ubicaciones, propósito y retención ayuda a establecer aviso y reduce el riesgo de una reclamación relacionada con monitoreo por parte del personal.
  4. Verifica el estatuto específico de tu estado. Las leyes de video voyerismo y vigilancia ilegal varían — algunas cubren sólo propósitos “de gratificación sexual,” otras cubren cualquier grabación en un espacio privado sin importar el propósito. Si operas en Puerto Rico, la disposición aplicable es el Artículo 168 del Código Penal, la cual es más amplia que muchos estatutos estatales ya que no está limitado a un requisito de propósito sexual.
  5. Entrena a quien maneje el material grabado. Los controles de acceso y los límites de retención para material de cámaras legítimo también importan — quién puede verlo, cuánto tiempo se guarda, y cómo se protege.

En Resumen

Dile que sí a las cámaras. Dile que no a las unidades para el baño — siempre, sin excepciones, sin importar cómo se empaquete la oferta o qué tan buen descuento incluya. Esta es una de las pocas áreas del derecho a la intimidad donde no existe una manera de cumplir con la ley; la única respuesta correcta es no instalarla.

Si estás armando un plan de cámaras de seguridad para tu oficina, clínica o negocio de venta al detal y quieres una revisión de cumplimiento antes de firmar nada, reserva una consulta — mejor preguntar antes de instalar las cámaras que después.

Esta publicación es para propósitos informativos generales y no constituye asesoramiento legal. Las leyes sobre cámaras y vigilancia varían según el estado; consulta con un abogado sobre las reglas que aplican a tu ubicación e industria específica.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

Se acabó el “Duration of Status”. ¿Sabes cuál será la fecha de expiración de tu visa?

Posted by Jaime Farrant on with 0 Comment

Durante casi 50 años, los estudiantes F-1, los visitantes de intercambio J-1 y los representantes de medios extranjeros con visa I han vivido bajo una de las reglas más flexibles del derecho migratorio estadounidense: la “duración de estatus”, o D/S (por sus siglas en inglés, duration of status). Mientras estuvieras inscrito en la escuela, continuaras en un programa, o siguieras haciendo tu trabajo, tu admisión simplemente no vencía y tenía cuenta regresiva, fecha límite de renovación, o una fecha marcada en el calendario.

Esa era termina el 15 de septiembre de 2026.

El 17 de julio de 2026, el Departamento de Seguridad Nacional (DHS) publicó una regla final que elimina el D/S para las categorías F, I y J, reemplazándolo con un período de admisión fijo, que dura un máximo de 4 años, después del cual deberás terminar tu programa, obtener una extensión, o salir del país. Si actualmente te encuentras en Estados Unidos con una de estas visas —o si eres patrono, escuela o patrocinador de un programa que trabaja con personas que sí lo están— tómate unos minutos para leer el resto de este artículo y entender qué está cambiando, porque la vieja suposición de “estoy bien mientras siga estudiando” ya no aplica.

¿Qué era el D/S, y por qué el DHS lo está eliminando?

Desde 1978 para los estudiantes y desde 1985 para los visitantes de intercambio y representantes de medios, las admisiones bajo D/S no venían con una fecha de vencimiento sellada en el pasaporte. Tu estadía autorizada estaba ligada a tu actividad —terminar tu carrera, completar tu programa de intercambio, continuar tu empleo en el extranjero— y no a un día específico del calendario.

El DHS ahora dice que esta flexibilidad se ha convertido en un riesgo. Solamente en el año fiscal 2024, hubo más de 1.8 millones de admisiones F-1 y más de medio millón de admisiones J-1 —y el DHS afirma haber identificado a más de 2,100 personas que ingresaron por primera vez como estudiantes F-1 entre 2000 y 2010 y que todavía se encuentran en estatus F-1 activo hoy en día. Debido a que el D/S no requiere ningún tipo de reporte ante las autoridades migratorias a menos que se solicite algo específico, como una autorización de capacitación práctica, el DHS argumenta que nunca tuvo una forma confiable de confirmar que estas personas seguían haciendo lo que su visa autorizaba —ni de detectarlos rápidamente cuando no era así.

Así que el DHS está haciendo lo mismo que ha hecho con casi todas las demás categorías de no inmigrante durante décadas: otorgar a las categorías F, J e I un período de admisión fijo en lugar de uno abierto.

¿Qué está cambiando con la nueva regla?

  • Tu período de admisión ahora tiene una fecha de vencimiento. Se te admitirá por la duración de tu programa —con un máximo de 4 años— más un período de gracia de 30 días para salir de Estados Unidos después.
  • Si tu programa dura más de 4 años, necesitarás una Extensión de Estadía (EOS, por sus siglas en inglés). Los programas de doctorado, programas de medicina y otros programas de varios años frecuentemente exceden los 4 años. El DHS reconoce esto y espera que esas personas soliciten una extensión ante USCIS antes de que venza su período fijo.
  • Se aplica un período de transición de 4 años a quienes ya se encuentran aquí. Si actualmente estás en estatus D/S cuando la regla entre en vigor, tendrás hasta la fecha que ocurra primero entre la fecha de finalización de tu programa o cuatro años después de la fecha de vigencia para terminar, extender o cambiar de estatus.
  • Las extensiones automáticas durante una EOS pendiente y presentada a tiempo tienen un límite —generalmente 240 días (90 o 240 días para las personas con visa I, dependiendo del país de su pasaporte).
  • La presencia ilegal ahora comienza a acumularse en el momento en que termina tu período autorizado —de forma automática, sin necesidad de una adjudicación previa. Esta es la parte que merece más atención, así que detengámonos en ella.

Hay un cambio que muchas personas podrían ignorar

Bajo el antiguo sistema de D/S, la presencia ilegal para efectos de las prohibiciones de reingreso de 3 y 10 años generalmente no comenzaba a acumularse hasta que un oficial de inmigración o un juez de inmigración determinara formalmente que habías violado tu estatus. En la práctica, esto significaba que, incluso si ya no cumplías con los requisitos, el reloj no comenzaba a correr hasta que alguien del gobierno lo dijera formalmente —y con casi 3.8 millones de casos pendientes en las cortes de inmigración, eso podía tardar meses o años.

Ese margen ya no existe. Una vez que tu período de admisión fijo (o una extensión aprobada) venza, comenzarás a acumular presencia ilegal automáticamente —el mismo día, sin necesidad de que intervenga un oficial o un juez. El DHS es explícito en que ese es precisamente el objetivo: quiere poner a las categorías F, I y J “en igualdad de condiciones” con el resto de las categorías de no inmigrante, donde permanecer más tiempo del autorizado siempre ha funcionado así.

En la práctica, esto significa:

  • Si la fecha de vencimiento de tu I-20 o DS-2019 pasa y no has presentado una EOS a tiempo, ya no tienes el beneficio de la duda. El reloj estará corriendo y estarás fuera de estatus.
  • La exposición a la presencia ilegal ahora es real para cualquier persona cuyo caso —incluyendo una solicitud pendiente ante USCIS o un caso ante un juez de inmigración— se extienda más allá de su período autorizado sin haber sido debidamente prorrogado.
  • Debido a que ya no es necesario esperar una determinación formal de violación, se espera que el Servicio de Inmigración y Control de Aduanas (ICE) actúe con mayor rapidez para emitir Notificaciones de Comparecencia una vez que vence un período fijo, ya que nada detiene el reloj de presencia ilegal mientras tanto.

¿Por qué debe importarte esto?

  • El límite de 4 años no se ajusta al calendario de todos. Los propios datos del DHS muestran que la mayoría de los estudiantes de doctorado tardan más de cuatro años en terminar. Si ese es tu caso, una EOS no es opcional —muy probablemente será lo único que te separe de la presencia ilegal.
  • “Sigo matriculado en la escuela” ya no es un refugio legal seguro. Bajo el D/S, mantenerte inscrito generalmente te mantenía en estatus. Bajo la nueva regla de período fijo, tu estatus puede vencer en una fecha específica incluso mientras sigues activamente en tu programa, si no presentaste el trámite correcto a tiempo.
  • El procesamiento de EOS está a punto de saturarse. El propio DHS predice un aumento en las solicitudes de extensión, con el volumen máximo esperado aproximadamente 4 años después de que la regla entre en vigor. Si los tiempos de procesamiento de USCIS se alargan como ha ocurrido con otras categorías de beneficios, podrías quedar esperando una decisión sobre tu EOS después de que tu período fijo ya haya vencido técnicamente.
  • Esto afecta a mucho más que solo a estudiantes. Los dependientes (F-2, J-2), los visitantes de intercambio que patrocinan a académicos e investigadores internacionales, los corresponsales de medios extranjeros, y las escuelas y patrocinadores de programas que los administran, todos quedan incluidos en el mismo sistema de período fijo y presentación de EOS.
  • Un vencimiento ahora tiene consecuencias que te siguen. La presencia ilegal no es solo un problema de cumplimiento abstracto —puede activar prohibiciones de reingreso de 3 o 10 años y complicar futuras solicitudes de visa, ajustes de estatus o exenciones (waivers) más adelante.

¿Qué puedes hacer al respecto?

  • Conoce tu fecha real de vencimiento de admisión una vez que la regla entre en vigor —no solo la fecha de finalización de tu programa. No siempre serán la misma, especialmente si tu programa se extiende más de cuatro años.
  • Si actualmente estás en estatus D/S, marca tu fecha límite de transición desde ahora. Tienes hasta la fecha que ocurra primero entre el final de tu programa o 4 años después de la fecha de vigencia —no esperes hasta estar cerca de esa fecha para empezar a planificar.
  • Si tu programa durará más de 4 años, comienza la conversación sobre tu Extensión de Estadía lo antes posible con tu funcionario escolar designado (“DSO”), patrocinador de programa, o abogado de inmigración. Presentar una EOS después de que tu período fijo ya haya vencido es una situación muy distinta —y mucho más riesgosa— que presentarla antes de que expire.
  • No solicites en el último momento, ya que debes considerar los retrasos en el procesamiento de USCIS. Dado el volumen de casos que espera el DHS, no asumas que una solicitud de EOS de último momento será decidida antes de que venza tu estadía autorizada.
  • Si eres una escuela, patrocinador de programa o empleador que trabaja con personas en categorías F, J o I, actualiza tu sistema de seguimiento interno ahora. Querrás un sistema que marque las fechas de vencimiento de admisión fija con suficiente anticipación, no después de que lleguen.
  • Si tu situación migratoria ya es complicada —una solicitud pendiente, un cambio de estatus en trámite, o cualquier incertidumbre sobre tu historial— habla con un abogado de inmigración antes de que venza tu período autorizado actual, no después.

En resumen

Durante casi cinco décadas, las categorías F, I y J operaron bajo uno de los marcos de admisión más flexibles del derecho migratorio estadounidense —sin fecha de vencimiento fija, sin reloj automático de presencia ilegal. A partir del 15 de septiembre de 2026, esa flexibilidad desaparecerá, reemplazada por un período de admisión fijo con un límite de 4 años y un reloj de presencia ilegal que comienza automáticamente en el momento en que ese período termina, sin necesidad de adjudicación.

Si actualmente te encuentras en estatus F, I o J —o administras a personas que sí lo están— la suposición más segura de aquí en adelante es la misma que siempre se ha aplicado a casi todas las demás categorías de no inmigrante: conoce tu fecha de vencimiento de admisión, y no dejes que ésta llegue sin tener un plan.

Si quieres ayuda para determinar exactamente en qué punto se encuentra tu período de admisión bajo la nueva regla, o quieres adelantarte a una solicitud de Extensión de Estadía antes de que se vuelva urgente, por favor agenda una consulta con nosotros antes de que venza tu visa.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

Immigración cambió nuevamente las reglas de “carga pública”. ¿Podría esto afectar tu caso?

Posted by Jaime Farrant on with 0 Comment

Si durante la última década solicitaste residencia permanente, una visa o admisión a Estados Unidos, probablemente escuchaste la frase “carga pública”, quizás recuerdas haber leído o escuchado que la frase tiene distintos significados dependiendo cuando se pregunta. Ahora, el pasado 18 de julio de 2026, la definición cambió de nuevo cuando DHS publicó una regla final que eliminó los reglamentos de carga pública de 2022 y devolvió más discreción a los oficiales de inmigración para definir quien es una carga pública a partir del 18 de septiembre de 2026.

Si has pasado en tu vida por dificultades financieras, usaste beneficios públicos, o dependiste de un patrocinador, esta nueva política es importante porque puede cambiar cómo se decide tu caso.

Un breve repaso histórico de la “carga pública”

La inadmisibilidad por carga pública no es nueva; ha sido parte de la ley de inmigración de Estados Unidos desde hace muchos años. Esta regla le permite al gobierno negar la admisión o residencia a alguien que entienda que dependerá principalmente de ayudas gubernamentales. Lo que ha cambiado a través del año es cómo se define esto.

En 2022, el DHS publicó un reglamento detallado que especificaba factores y definiciones concretas: definía que era un “beneficio público,” qué significaba “recibir” un beneficio, establecía definiciones de “hogar” y “gobierno,” y contenía una lista formal de exenciones en el 8 CFR 212.23 que protegía a refugiados, asilados y otras categorías protegidas.

El DHS ahora está eliminado esa estructura codificada, ya que ha tomado la posición de que la Regla Final de 2022 “no fue la mejor implementación del estatuto,” era “incompatible con la intención del Congreso,” y resultaba “indebidamente restrictiva.” Las determinaciones de carga pública vuelven ahora a la discreción amplia y caso por caso de los oficiales — guiada por el propio estatuto y por orientación de política no vinculante, en lugar de una lista de verificación con estándares fijos y objetivos.

¿Qué cambia a partir del 18 de septiembre?

  • Desaparece el marco de 2022. El DHS elimina en su totalidad los 8 CFR 212.20 al 212.23, incluyendo las definiciones codificadas de “beneficios públicos,” “recepción,” “hogar” y “gobierno,” junto con la lista formal de exenciones y dispensas.
  • Aumenta la discreción del oficial. Los oficiales de USCIS y los oficiales consulares evaluarán la “totalidad de las circunstancias” usando los factores estatutarios de la INA — edad, salud, estado familiar, activos, recursos, situación financiera y educación/habilidades — sin definiciones codificadas que limiten su análisis.
  • Es en su mayoría prospectiva. La regla aplica a solicitudes de admisión presentadas a partir del 18 de septiembre de 2026, y a solicitudes de ajuste de estatus con matasellos o presentadas electrónicamente a partir de esa fecha. Los beneficios recibidos antes de esa fecha se siguen evaluando bajo el marco de la Regla Final de 2022, incluso si la solicitud se presenta después.
  • Las exenciones de refugiados y asilados se mantienen intactas. Esas exenciones provienen de las secciones 207(c)(3) y 209(c) de la INA — disposiciones estatutarias separadas que esta regla no puede alcanzar.

La Nueva Regla No Trae un Nuevo Reglamento

Esto no es un simple cambio de un marco detallado por otro. El DHS eliminó la estructura codificada y devolvió la decisión al juicio individual del oficial, guiado por el estatuto y cualquier guía subreglamentaria que el DHS eventualmente emita — la cual aún no existe.

Esto tiene dos caras. Por un lado, los oficiales tienen más margen para considerar contexto que una lista rígida habría excluido. Sin embargo, al no definir qué cuenta como “beneficio público” o cuánto peso debe tener cada factor, los solicitantes y sus abogados tienen menos certeza de antemano — y menos de un estándar fijo al cual apelar si un caso es denegado.

¿Por qué Debe Importarte Esta Nueva Regla?

  • “No usé un beneficio cubierto bajo la regla anterior” ya no es determinante por sí solo. La lista fija de beneficios descalificantes de la regla de 2022 desapareció. Los oficiales ahora pueden ponderar el uso de beneficios y las circunstancias financieras como parte del panorama completo.
  • El momento de presentación determina qué marco aplica. Presentar o tener matasellos antes del 18 de septiembre de 2026 significa que rige la regla de 2022. Presentar después significa que aplica el nuevo estándar discrecional — aunque los beneficios recibidos antes de esa fecha se sigan evaluando bajo los términos de 2022.
  • Habrá mayor variabilidad en la resolución de casos. Casos con hechos similares podrían tener resultados distintos según cómo cada oficial pondere los factores estatutarios.
  • El alcance es amplio. Solicitantes de residencia permanente, solicitantes de visa consular, registrantes y personas renovando TPS, y cualquier persona que haya tenido problemas financieros serán impactados.

¿Qué puedes hacer ahora?

  • Conoce qué marco legal aplica a su caso. Presentado, con matasellos o enviado electrónicamente antes del 18 de septiembre de 2026 → regla de 2022. Después → nuevo estándar discrecional. El momento de presentación importa más de lo usual en este momento.
  • Construye y presenta a Inmigración un panorama financiero completo, no una respuesta tipo lista de verificación.Ya que ahora no hay una lista clara de como implementar esta regla, comience a documentar sus activos, recursos, salud, educación y apoyo familiar — los factores estatutarios reales que un oficial seguramente va a solicitar y analizarr.
  • Confirmeaque cualquier exención a personas refugiadas o asiladas sigan aplicando a su situación procesal. Las exenciones por ley no se verán afectadas, pero verifique siempre contra su situación.
  • Está atento a cambios del Manual de Políticas de USCIS. El DHS eliminó la regla codificada sin presentar nuevas guías. Cuando éstas se publiquen, seguramente impactarán cómo los oficiales ejercerán en la práctica esta regla.
  • Hableacon un abogado de inmigración antes de presentar tu caso, no después de una denegación. Adelantarse a cómo se percibirá su historial financiero y de beneficios bajo un estándar discrecional es mucho más valioso ahora que cuando las reglas estaban detalladas por escrito.

En resumen

El DHS ha vuelto a revisar las definiciones de carga pública — no con una nueva regla detallada – sino eliminando el marco de 2022 y devolviendo las decisiones a los oficiales a partir del 18 de septiembre de 2026. Si tiene una solicitud pendiente o que va a presentar, la fecha en que presente su caso podría cambiar su resultado.

Si deseas ayuda para determinar qué marco aplica a tu cronograma de presentación, o quieres una segunda revisión de tu documentación financiera antes de que llegue a manos de un oficial bajo el nuevo estándar, agenda una consulta con nosotros hoy mismo. Estamos listos para ayudarte.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

¿Qué Pasaría Si el Sistema de Inteligencia Artificial de Tu Proveedor Decide Hackear a Otra Persona?

Posted by Jaime Farrant on with 0 Comment

¿Alguna vez has pensado en lo que le podría pasar a tu negocio si el sistema de inteligencia artificial de tu proveedor decide, por su cuenta, entrar sin autorización a los servidores de otra empresa? Si no lo has pensado, quizás sea buen momento para hacerlo, porque las consecuencias para tu negocio podrían ser severas. Si tu negocio está regulado por HIPAA, una violación de esta ley podría traerte una multa civil de hasta $2,190,294 por categoría de violación, por año, en el nivel más alto de culpabilidad. Incluso un negocio que no hizo nada mal, donde el sistema de IA de un proveedor actuó completamente por su cuenta, podría enfrentar una multa de un nivel menor, una investigación del Departamento de Salud (“HHS”) de Estados Unidos, costos de notificación de incidentes de seguridad, y daño reputacional, por algo que nunca causó y que no pudo haber previsto.

Esta posibilidad ya no es hipotética. El 21 de julio de 2026, OpenAI publicó en su página web un aviso donde asumió responsabilidad por un ciberataque a Hugging Face, una plataforma ampliamente usada para alojar modelos de inteligencia artificial y colaboración en aprendizaje automático. Según OpenAI, una combinación de sus modelos —incluyendo uno disponible al público y otro más avanzado aún no lanzado, ambos operando con restricciones de seguridad reducidas para una evaluación interna de ciberseguridad— logró escapar de su entorno de prueba aislado explotando una falla previamente desconocida en una herramienta de software interna, obtuvo acceso a internet abierto, y luego utilizó credenciales robadas y otra vulnerabilidad desconocida para lograr ejecución remota de código en los servidores de producción de Hugging Face. Su objetivo, según OpenAI, era limitado pero revelador: los modelos intentaban obtener las respuestas correctas de la prueba de evaluación en la que estaban siendo calificados. Hugging Face ya había detectado la intrusión durante un fin de semana de actividad automatizada, la reportó a las autoridades, y comenzó su propia contención antes de siquiera saber que OpenAI era responsable.

Ambas empresas han calificado esto como un momento decisivo para la ciberseguridad. Para un pequeño negocio, consultorio médico, u oficina profesional que depende de proveedores externos —incluyendo herramientas de IA— para almacenar, procesar, o transmitir información sensible, esto también debe ser una llamada de atención sobre un tipo de riesgo que la mayoría de los contratos con proveedores nunca contemplaron: el agente de IA que actúa por su propia cuenta.

¿Por Qué el Comportamiento de la IA de Tu Proveedor Podría Convertirse en Tu Problema?

La mayoría de las leyes de privacidad y seguridad de datos que aplican a pequeños negocios no distinguen entre una filtración causada por un hacker humano y una causada por un sistema autónomo. Si tu práctica o negocio utiliza un asociado de negocio de una entidad cubierta, un proveedor de servicios en la nube, o cualquier tercero que tenga acceso a información personal o de salud, generalmente eres responsable legalmente de:

  • Evaluar las prácticas de seguridad de ese proveedor antes de firmar un contrato (debida diligencia).
  • Contar con las protecciones contractuales adecuadas, como un Acuerdo de Asociado de Negocio (BAA, por sus siglas en inglés) bajo HIPAA para consultorios médicos, o términos comparables de procesamiento y seguridad de datos para cualquier negocio que maneje información personal.
  • Notificar a las personas afectadas, y en algunos casos a los reguladores, si el sistema de ese proveedor se ve comprometido y tus datos están involucrados.

Bajo HIPAA, los asociados de negocio de una entidad cubierta están contractual y legalmente obligados a proteger la información de salud protegida (PHI, por sus siglas en inglés), y una filtración a nivel del proveedor puede generar obligaciones de notificación para la entidad cubierta misma, aunque haya sido el sistema del proveedor —y no el del consultorio médico— el que falló. Fuera del sector de salud, la mayoría de las leyes estatales de notificación de filtraciones de datos funcionan de forma similar: la responsabilidad sigue a los datos, no solo a la parte que causó el incidente.

Un agente de IA que autónomamente escala su propio acceso, extrae credenciales, o llega a sistemas para los que nunca fue autorizado no cambia en nada este análisis legal. Simplemente hace que sea más difícil de predecir, detectar, y contener.

Vale la pena ser precisos sobre lo que ocurrió y lo que no ocurrió aquí: según la información que ha dado OpenAI, los modelos estaban buscando las respuestas correctas de su propia prueba de evaluación, no buscando deliberadamente registros de clientes o pacientes. Ningún negocio debe interpretar este incidente como prueba de que se robaron datos de pacientes o clientes. No obstante, lo que si debe preocupar a cualquier negocio que depende de proveedores externos es la capacidad demostrada: un sistema de IA que, por iniciativa propia, encontró una vulnerabilidad de día cero, robó credenciales, escaló privilegios, y llegó a la infraestructura de producción de un tercero, durante un fin de semana sin monitoreo, antes de que interviniera algún humano. Si esa misma capacidad se dirige hacia un sistema que contiene registros de pacientes, números de cuentas financieras, o archivos de clientes, el resultado seríamuy diferente.

Un Vacío en las Obligaciones de Divulgación que Debes Conocer

Aquí hay un detalle que importa para cualquier negocio que confía en las garantías de un proveedor: OpenAI no estaba legalmente obligada a divulgar este incidente. Dos leyes estatales recientes, la SB 53 de California y la Ley RAISE de Nueva York, exigen que los grandes desarrolladores de IA reporten incidentes críticos de seguridad, pero solo si el incidente representa un riesgo de más de 50 muertes o lesiones graves, o más de $1,000 millones en daños a la propiedad. Un incidente como este queda muy por debajo de ese umbral. OpenAI lo divulgó de forma voluntaria. La conclusión práctica para tu negocio es que, como regla general, no puedes esperar recibir un informe público o un aviso regulatorio para saber si el sistema de IA de un proveedor ha tenido una falla similar, a menos que lo incluyas en tus contratos. Por consiguiente, tu herramienta principal para protegerte será lo que escribes en tus contratos y lo que preguntas a tus proveedores durante el proceso de contratación.

Estructura de Multas: ¿A Qué Potencialmente Te Expones?

La exposición aquí es de varios niveles, y puede aplicar a un negocio que nunca le pidió a un sistema de IA que hiciera nada indebido, si ese sistema operaba dentro de su propio entorno o el de un proveedor:

  • HIPAA: Las multas civiles actualmente van desde aproximadamente $145 hasta $2,190,294 por categoría de violación, por año, dependiendo del nivel de culpabilidad de la entidad cubierta o del asociado de negocio. El Nivel 1 (falta de conocimiento) está en el extremo más bajo; la negligencia intencional que no se corrige está en el extremo más alto. Los fiscales generales estatales pueden perseguir por separado multas relacionadas con HIPAA de hasta $25,000 por categoría de violación, por año, y las acciones multiestatales son cada vez más comunes cuando una filtración afecta a residentes de varios estados.
  • Leyes estatales de notificación de filtraciones: La mayoría de los estados pueden imponer multas o autorizar demandas privadas cuando un negocio no notifica con prontitud a los residentes afectados tras una filtración que involucre información personal, sin importar si la filtración se originó en el negocio o en un proveedor que este eligió.
  • Exposición contractual: Si el contrato con tu proveedor carece de plazos claros de notificación de incidentes, requisitos de seguridad, o derechos de auditoría específicos para herramientas de IA, tu negocio podría terminar absorbiendo los costos, o negociando desde una posición más débil, después de los hechos.

Nada de esto significa que todo incidente relacionado con un proveedor de IA resulte automáticamente en la multa máxima. Los reguladores generalmente consideran la naturaleza de los datos involucrados, el número de personas afectadas, si el negocio contaba con salvaguardas razonables, y qué tan rápido se atendió el incidente. Pero la exposición es real, y no se limita a las empresas que construyen o venden modelos de IA. Alcanza a cualquier negocio, consultorio médico, o práctica profesional que dependa de uno.

¿Por Qué Debe Importarte Esto?

Porque los expertos en seguridad de la inteligencia artificial están describiendo esto como uno de los primeros ejemplos reales de un escenario de “pérdida de control” de la IA: un sistema haciendo algo que los investigadores llevaban tiempo advirtiendo, sin que un humano lo dirigiera, y sin que un simple error de software fuera el culpable. Esta actividad se extendió por un periodo prolongado en un sistema que, a diferencia de las herramientas de producción de OpenAI que sí se monitorean activamente, no estaba siendo vigilado en tiempo real. Si a un laboratorio de IA de punta con equipos de seguridad dedicados le puede ocurir esto durante una prueba interna controlada, es razonable que cualquier negocio se pregunte qué supervisión existe sobre las herramientas habilitadas con IA, chatbots, asistentes de citas, o automatización administrativa que tu práctica ya utiliza, y qué dice realmente el contrato de tu proveedor sobre este riesgo.

Para un consultorio médico, esta pregunta no es abstracta. Las herramientas de IA cada vez se integran más en la admisión de pacientes, la programación de citas, la transcripción, y el software de facturación. Para cualquier pequeño negocio, aplica a cualquier servicio habilitado con IA que toque registros de clientes, datos financieros, u otra información sensible, aunque sea indirectamente.

¿Cómo Puedes Proteger Tu Negocio?

  • Haz un inventario de cada proveedor y herramienta de software que tu negocio utiliza que incorpore IA, especialmente cualquiera que toque datos de pacientes, clientes, finanzas, o empleados.
  • Confirma que tienes un BAA firmado con cualquier proveedor que cree, reciba, mantenga, o transmita PHI en tu nombre, si eres una entidad cubierta o un asociado de negocio.
  • Revisa los contratos con tus proveedores en busca de lenguaje específico sobre IA: ¿el acuerdo aborda el comportamiento de sistemas autónomos, exige notificación pronta de incidentes, y especifica obligaciones de seguridad?
  • Pregúntales directamente a tus proveedores cómo prueban la contención de sus sistemas de IA y qué sucede si un modelo excede su alcance previsto.
  • Confirma que tu plan de respuesta a incidentes contempla un escenario donde un proveedor, y no tus propios sistemas, sea la fuente de una filtración.
  • Revisa tu póliza de seguro cibernético para confirmar que cubre incidentes relacionados con herramientas de IA y proveedores externos de IA, no solo filtraciones de datos tradicionales.
  • No asumas que el silencio significa seguridad: incluye en tus contratos con proveedores un derecho contractual a ser notificado de incidentes de seguridad relacionados con IA, ya que las leyes actuales de divulgación de incidentes de seguridad de IA solo cubren los eventos más catastróficos y no necesariamente revelarán un incidente cercano en tu proveedor.

En Resumen

El incidente entre OpenAI y Hugging Face es un recordatorio de que el riesgo de la IA en 2026 no se trata solo de lo que tu negocio decide hacer con la inteligencia artificial. También se trata de lo que los sistemas de IA dentro de la infraestructura de tus proveedores puedan hacer sin que nadie se lo indique. Si tu práctica o negocio no ha revisado sus contratos con proveedores y su plan de respuesta a incidentes considerando esta posibilidad, este es un buen momento para hacerlo.

Si tienes preguntas sobre tus contratos con proveedores, acuerdos de asociado de negocio, o cómo una filtración en un proveedor externo de IA podría afectar tus obligaciones, agenda una cita con nosotros hoy.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

Can a Gmail sent to your Patient Cost You $73,000.00 in Fines?

Posted by Jaime Farrant on with 0 Comment

Could a single email — sent from your personal Gmail account to a patient, with no breach, no hacker, and no leaked data anywhere — still cost your practice tens of thousands of dollars? Under HIPAA, the answer is yes. The U.S. Department of Health and Human Services’ Office for Civil Rights (OCR) has actually fined a covered entity specifically for failing to have a Business Associate Agreement in place before letting patient data flow through a vendor — no breach required. That kind of violation can cost anywhere from $1,461 up to $73,011, and in willful-neglect cases, as high as $2,190,294 per incident. If your practice is in Puerto Rico, there’s an added wrinkle too: the same email mishap can trigger a second, separate notification clock under Puerto Rico law — one that moves faster than HIPAA’s own deadlines. If your practice is emailing patients from a free, personal email account, this is a risk you’re actually carrying every time you hit send.

It’s Not the Account. It’s the Use.

HIPAA (the Health Insurance Portability and Accountability Act) doesn’t say anywhere that “thou shalt not have a free email account.” Plenty of covered entities and business associates use Gmail or Outlook for scheduling, marketing, or general non-protected health information (“PHI”) correspondence without ever running afoul of the law. The violation risk shows up the moment PHI — patient names tied to diagnoses, treatment details, billing information, or anything else that could identify someone’s health status — travels through that account without the right protections in place.

So, although it’s incorrect to say that “free email violates HIPAA,” it is correct to say that using free, consumer-grade email to transmit or store PHI without safeguards and the right agreements in place is what creates HIPAA exposure.

The Penalty — Up to $2.19 Million, But Most Cases Land Far Lower

HIPAA civil monetary penalties are assessed in four tiers, based on the covered entity’s level of culpability — not a flat fee for “using the wrong email provider”:

  • Tier 1 (Lack of Knowledge): $145 to roughly $36,505 per violation, per year — for practices that genuinely had no reasonable way of knowing the setup was non-compliant.
  • Tier 2 (Reasonable Cause): $1,461 up to $73,011 per violation, per year — this is where most “free email, no BAA” situations tend to land, since a basic risk analysis would typically have flagged the problem.
  • Tier 3 (Willful Neglect, corrected): $14,602 up to $73,011 per violation, per year — for practices that knew about the risk and didn’t act, but fixed it once flagged.
  • Tier 4 (Willful Neglect, not corrected within 30 days): $73,011 up to $2,190,294 per violation, per year — the steepest tier, for practices that knew and simply kept going.

And OCR isn’t the only exposure: state attorneys general have independent authority to bring their own HIPAA-related penalties (up to $25,000 per violation category, per year), and a breach affecting patients across multiple states can trigger simultaneous multi-state actions on top of whatever OCR imposes.

Why Free Email Accounts Are Risky for PHI

A few structural realities make consumer email services a poor fit for handling PHI:

1. No Business Associate Agreement (BAA). Under the HIPAA Privacy and Security Rules, any vendor that creates, receives, maintains, or transmits PHI on behalf of a covered entity is a “business associate” and must sign a BAA — a contract spelling out how they’ll protect that data. Google and Microsoft do offer BAAs for their paid, enterprise-tier services (Google Workspace, Microsoft 365 with the right plan), but standard free consumer Gmail, Yahoo and Outlook accounts are explicitly excluded from those BAA terms. If PHI moves through a free account, there’s no HIPAA-compliant contract backing it up.

2. Lack of Encryption Guarantees. The HIPAA Security Rule requires “addressable” implementation specifications around encryption of electronic PHI (ePHI), both at rest and in transit. Free email accounts typically encrypt data in transit between major providers (via TLS), but there’s no guarantee of end-to-end encryption, no audit trail requirements, and no assurance about how long messages sit unencrypted on a server or in someone’s inbox, sent folder, or trash.

3. No Access Controls or Audit Logs. HIPAA requires covered entities to implement access controls, audit controls, and integrity controls over ePHI. A free personal inbox doesn’t give you granular user permissions, activity logging, or the ability to demonstrate — during an OCR investigation — exactly who accessed a message and when.

4. Device and Account Security Is on You Alone. Free accounts are often accessed on personal phones, shared computers, or unmanaged devices. If that device is lost, stolen, or compromised, there’s no enterprise mobile device management (MDM) policy, remote wipe capability, or centralized IT oversight to contain the fallout.

What Actually Triggers Enforcement

OCR doesn’t go looking for practices that merely have a Gmail account. Enforcement actions tend to follow a pattern: a breach occurs, the practice reports it or a patient complains, and OCR’s investigation reveals that PHI was routinely sent through unsecured consumer email with no BAA, no encryption, and no risk analysis on file. The email account is often just the vehicle; the underlying violation is usually a broader failure to conduct a required risk assessment or implement reasonable safeguards under the Security Rule.

Puerto Rico Adds a Second — and Faster — Clock

If your practice operates in Puerto Rico, HIPAA isn’t the only framework in play. Two Puerto Rico statutes we’ve covered in earlier posts layer directly on top of a HIPAA email mishap:

Puerto Rico Data’s Breach Notification Act (Law 111 of 2005) explicitly lists “medical information protected by HIPAA”  as one of the categories of protected personal information under its own definition. This means that a PHI exposure through unsecured email isn’t just a HIPAA problem, it’s also a potential violaton under Puerto Rico’s own breach law. And the timeline for compliance in this law is tighter than HIPAA’s: while HIPAA requires notifying affected individuals “without unreasonable delay” and no later than 60 days, Law 111 separately requires informing DACO (Puerto Rico’s Department of Consumer Affairs) within a non-extendable 10 day period of detecting the breach — a much shorter clock running in parallel to your federal obligations. A practice that’s only tracking HIPAA’s 60-day deadline could easily blow through Puerto Rico’s 10-day one without realizing a second law was ever in play.

Puerto Rico’s Privacy Policy Notice Act (Law 39 of 2012) and its implementing DACO Regulation 8568 require any business collecting personal information from Puerto Rico residents — medical practices included — to publish a clear, accurate privacy policy. The good news here: Article 4 of Law 39 specifically provides that where a federal law like HIPAA already governs an industry’s privacy practices, Puerto Rico’s law is interpreted consistently with that federal framework, rather than layering on a conflicting standard. In practice, this means your HIPAA Notice of Privacy Practices does much of the necessary work — but your practice’s website privacy policy still needs to independently satisfy Reg 8568’s specific disclosure items (like how your site responds to “Do Not Track” signals and how you notify patients of policy changes), which aren’t things a HIPAA Notice of Privacy Practices is built to cover.

Why Should You Care About This?

  • A HIPAA-compliant practice on paper can still be exposed in Puerto Rico specifically. If you’ve only ever benchmarked your compliance against federal HIPAA requirements, Law 111’s separate 10-day DACO clock is an easy, invisible gap — it doesn’t show up in a HIPAA risk assessment, because it isn’t a HIPAA requirement at all.
  • Front-desk habits are usually the real exposure, not IT infrastructure. Most practices that end up in this situation don’t have a sophisticated data breach — they have a receptionist or provider who, for years, has been forwarding lab results or scheduling details from a personal Gmail account because it’s convenient.
  • The fix costs far less than the fine. A properly configured, BAA-backed enterprise email plan (ProtonMail Workspace, Google Workspace or Microsoft 365 Business) costs a few dollars per user per month — a rounding error next to even a single Tier 2 HIPAA penalty.
  • “We didn’t know” gets harder to argue every year. As HIPAA email guidance becomes more widely publicized (including through posts exactly like this one), OCR has more basis to treat a practice’s noncompliance as Tier 2 “reasonable cause” rather than Tier 1 “lack of knowledge” — which alone can raise the penalty range substantially.

Is Your Practice Handling Patient Email the Right Way? Here’s What to Do Today.

If your practice needs to email PHI, here’s what actually keeps you on the right side of both HIPAA and Puerto Rico law:

  • Use enterprise-tier email with a signed BAA (for example, ProtonMail Workspace, Google Workspace or Microsoft 365 Business/Enterprise plans all offer BAAs).
  • Enable encryption for messages containing PHI.
  • Implement access controls so only authorized staff can view PHI-containing messages.
  • Train staff on what can and can’t be sent via email, and when to use a secure patient portal instead.
  • Conduct a HIPAA risk analysis that specifically addresses how email is used in your workflow.
  • Know your Puerto Rico-specific deadlines separately from your HIPAA deadlines — build a notification plan that accounts for Law 111’s 10-day DACO clock, not just HIPAA’s 60-day outer limit.
  • Make sure your website privacy policy satisfies Reg 8568’s specific requirements (Do Not Track disclosure, policy-amendment notice) independently of your HIPAA Notice of Privacy Practices.
  • Consider a dedicated secure messaging or patient portal solution rather than email at all for anything sensitive.

The Bottom Line

Don’t let the headline scare you into thinking your personal Gmail account is automatically a compliance violation — that’s not how HIPAA works. However, don’t let the absence of an obvious red flag lull you into complacency either. The moment PHI enters that inbox without a BAA, encryption, and proper access controls, you’ve created real regulatory, financial and patient-trust risk — one that the OCR can act on even without a breach ever occurring, and one that, in Puerto Rico, can trigger a second, faster-moving notification clock most practices never realize applies to them. The fix isn’t complicated: keep PHI off consumer-grade email entirely, or upgrade to a properly configured, BAA-backed enterprise platform built for it.

If you want to make sure your practice’s email habits, privacy policy, and breach-notification plan actually comply with HIPAA and Puerto Rico law, please book a consult with us today. We’ll help you close the gap before a patient complaint, an OCR audit, or a missed 10-day deadline forces you to act under great pressure.

About the Author

Jaime Farrant is admitted to practice law in Puerto Rico, New York, Maryland and the District of Columbia. This article is for informational purposes only and does not constitute legal advice or create an attorney-client relationship.

ADVERTISING MATERIAL. This article constitutes advertising as defined by the professional conduct rules in New York (22 NYCRR 1200.7.1 and 1200.7.3), Maryland (Rule 19-307.1 and 19-307.2), and the District of Columbia (D.C. Rules of Professional Conduct 7.1), and the Puerto Rico Rules of Professional Conduct (Rules 7.1-7.3). It is not solicitation of prospective clients known to need legal services in a particular matter. Instead, it is general information directed to the public about the practice of law and available legal services. No attorney-client relationship is created by your reading of this article or by contacting the author. Consult qualified counsel in each jurisdiction with specific situations.

¿Podría un Correo Electrónico Enviado a tu Paciente por Gmail Costarte $73,000 en Multas?

Posted by Jaime Farrant on with 0 Comment

¿Podría un solo correo electrónico — enviado desde tu cuenta personal de Gmail a un paciente, sin ninguna filtración, sin hacker, y sin datos expuestos en ningún lugar — costarle a tu consultorio decenas de miles de dólares en multas? Bajo HIPAA, la respuesta es sí. La Oficina de Derechos Civiles (OCR, por sus siglas en inglés) del Departamento de Salud y Servicios Humanos de los Estados Unidos de hecho ha multado en el pasado a una entidad cubierta específicamente por no tener un Acuerdo de Asociado de Negocio (BAA) vigente antes de permitir que los datos de un paciente fluyeran a través de un proveedor — sin que se requiriera ninguna filtración. Ese tipo de violación puede costar entre $1,461 y $73,011, y en casos de negligencia intencional, hasta $2,190,294 por incidente. Si tu consultorio está en Puerto Rico, hay una consideración adicional: el mismo mensaje enviado por correo electrónico puede activar un segundo y separado reloj de notificación bajo la ley de Puerto Rico — uno que se mueve más rápido que los plazos de HIPAA. Si tu consultorio le envía correos electrónicos a pacientes desde una cuenta de correo personal y gratuita, este es un riesgo que estás asumiendo cada vez que presionas “enviar.”

No es la Cuenta. Es el Uso.

HIPAA (la Ley de Portabilidad y Responsabilidad del Seguro Médico, por sus siglas en inglés) no dice en ningún lugar que “no tendrás una cuenta de correo gratuita.” Muchas entidades cubiertas y asociados de negocio usan Gmail, Yahoo u Outlook para programar citas, enviar ofertas de mercadeo, o correspondencia general que no incluye información de salud protegida (“PHI,” por sus siglas en inglés), sin infringir jamás la ley. El riesgo de violación aparece en el momento en que el PHI — nombres de pacientes vinculados a diagnósticos, detalles de tratamiento, información de facturación, o cualquier otro dato que pudiera identificar el estado de salud de alguien — viaja a través de esa cuenta sin las protecciones adecuadas.

Así que, aunque es incorrecto decir que “el correo gratuito viola HIPAA,” sí es correcto decir que usar correo electrónico gratuito de nivel consumidor para transmitir o almacenar PHI sin las salvaguardas y los acuerdos correctos es lo que genera exposición ante HIPAA.

La Penalidad — Hasta $2.19 Millones, Pero la Mayoría de los Casos Son Mucho Menores

Las multas civiles de HIPAA se evalúan en cuatro niveles, según el grado de responsabilidad de la entidad cubierta — no es una tarifa fija por “usar el proveedor de correo equivocado”:

  • Nivel 1 (Falta de conocimiento): de $145 a aproximadamente $36,505 por violación, por año — para consultorios que genuinamente no tenían manera razonable de saber que la configuración no cumplía.
  • Nivel 2 (Causa razonable): de $1,461 hasta $73,011 por violación, por año — aquí es donde suelen ubicarse la mayoría de las situaciones de “correo gratuito, sin BAA,” ya que un análisis de riesgo básico normalmente habría señalado el problema.
  • Nivel 3 (Negligencia intencional, corregida): de $14,602 hasta $73,011 por violación, por año — para consultorios que conocían el riesgo y no actuaron, pero lo corrigieron una vez señalado.
  • Nivel 4 (Negligencia intencional, no corregida en 30 días): de $73,011 hasta $2,190,294 por violación, por año — el nivel más severo, para consultorios que sabían y simplemente continuaron.

Y la OCR no es la única fuente de exposición: los gobiernos estatales tienen autoridad independiente para imponer sus propias sanciones relacionadas con HIPAA (hasta $25,000 por categoría de violación, por año), y una filtración que afecte a pacientes en varios estados puede desencadenar acciones simultáneas en múltiples estados, además de lo que imponga la OCR.

Por Qué las Cuentas de Correo Gratuitas Son Riesgosas para el PHI

Existen varias realidades estructurales que hacen que los servicios de correo para consumidores sean poco adecuados para manejar PHI:

1. No hay Acuerdo de Asociado de Negocio (BAA). Bajo las Reglas de Privacidad y Seguridad de HIPAA, cualquier proveedor que cree, reciba, mantenga o transmita PHI en nombre de una entidad cubierta es un “asociado de negocio” y debe firmar un BAA — un contrato que detalla cómo protegerá esos datos. Google y Microsoft sí ofrecen BAAs para sus servicios empresariales de pago (Proton Workspace, Google Workspace, Microsoft 365 con el plan adecuado), pero las cuentas estándar y gratuitas de Gmail, Yahoo y Outlook para consumidores están explícitamente excluidas de esos términos de BAA. Si el PHI se transmite a través de una cuenta gratuita, no existe un contrato conforme a la ley HIPAA que lo respalde.

2. Falta de garantías de cifrado. La Regla de Seguridad de HIPAA exige especificaciones de implementación “abordables” en torno al cifrado del PHI electrónico (ePHI), tanto en reposo como en tránsito. Las cuentas de correo gratuitas generalmente cifran los datos en tránsito entre los principales proveedores (mediante TLS), pero no hay garantía de cifrado de extremo a extremo (“end to end”), ni requisitos de registro de auditoría, ni certeza sobre cuánto tiempo permanecen los mensajes sin cifrar en un servidor o en la bandeja de entrada, enviados o papelera de alguien.

3. No tienen controles de acceso ni registros de auditoría. HIPAA exige que las entidades cubiertas implementen controles de acceso, controles de auditoría y controles de integridad sobre el ePHI. Una bandeja de entrada personal gratuita no ofrece permisos de usuario granulares, registro de actividad, ni la capacidad de demostrar — durante una investigación de la OCR — exactamente quién accedió a un mensaje y cuándo.

4. La seguridad del dispositivo y de la cuenta depende únicamente de ti. Las cuentas gratuitas a menudo se acceden desde teléfonos personales, computadoras compartidas o dispositivos sin gestión. Si ese dispositivo se pierde, es robado o se ve comprometido, no existe una política empresarial de gestión de dispositivos móviles (MDM), capacidad de borrado remoto, ni supervisión centralizada de TI para contener las consecuencias.

Qué Realmente Activa la Aplicación de la Ley

La OCR no busca activamente consultorios que simplemente tengan una cuenta de Gmail. Las acciones de cumplimiento suelen seguir un patrón: ocurre una filtración, el consultorio la reporta o un paciente presenta una queja, y la investigación de la OCR revela que el PHI se enviaba habitualmente por correo electrónico de consumo sin seguridad, sin BAA, sin cifrado y sin un análisis de riesgo documentado. La cuenta de correo suele ser solo el vehículo; la violación subyacente suele ser una falla más amplia en realizar un análisis de riesgo requerido o implementar salvaguardas razonables bajo la Regla de Seguridad.

Puerto Rico Añade un Segundo Reloj — Mucho Más Rápido

Si tu consultorio opera en Puerto Rico, HIPAA no es el único marco legal que le aplica. Dos estatutos de Puerto Rico que hemos cubierto en publicaciones anteriores se superponen directamente sobre un error de correo electrónico bajo HIPAA:

La Ley de Notificación de Violaciones de Seguridad de Puerto Rico (Ley 111 de 2005) enumera explícitamente “información médica protegida por HIPAA” como una de las categorías de información personal protegida bajo su propia definición. Esto significa que una exposición de PHI a través de correo electrónico sin seguridad no es solo un problema de HIPAA — también es una posible violación bajo la propia ley de violaciones de seguridad de Puerto Rico. Y el plazo de cumplimiento bajo esta ley es más corto que el de HIPAA: mientras HIPAA exige notificar a las personas afectadas “sin demora injustificada” y a más tardar en 60 días, la Ley 111 exige por separado informar al DACO (el Departamento de Asuntos del Consumidor de Puerto Rico) dentro de un plazo improrrogable de 10 días de haber detectado la violación de seguridad — un reloj mucho más corto que corre paralelamente a tus obligaciones federales. Un consultorio que sólo esté rastreando el plazo de 60 días de HIPAA podría fácilmente incumplir el plazo de 10 días de Puerto Rico sin darse cuenta de que una segunda ley estaba en juego.

La Ley de Notificación de Política de Privacidad de Puerto Rico (Ley 39 de 2012) y su Reglamento 8568 del DACO exigen que todo negocio que recopile información personal de residentes de Puerto Rico — incluyendo consultorios médicos — publique una política de privacidad clara y precisa. La buena noticia aquí: el Artículo 4 de la Ley 39 específicamente dispone que, cuando una ley federal como HIPAA ya rige las prácticas de privacidad de una industria, la ley de Puerto Rico se interpreta de manera consistente con ese marco federal, en lugar de imponer un estándar contradictorio adicional. En la práctica, esto significa que tu Aviso de Prácticas de Privacidad de HIPAA hace gran parte del trabajo necesario — pero la política de privacidad del sitio web de tu consultorio aún necesita satisfacer de forma independiente los elementos de divulgación específicos del Reglamento 8568 (como la manera en que tu sitio responde a las señales de “Do Not Track” y cómo notificas a los pacientes sobre cambios en tus políticas), cosas que un Aviso de Prácticas de Privacidad de HIPAA no está diseñado para cubrir.

¿Por Qué Debería Importarte Esto?

  • Un consultorio que cumple con HIPAA en papel aún puede estar expuesto específicamente en Puerto Rico. Si sólo has evaluado tu cumplimiento contra los requisitos federales de HIPAA, el reloj separado de 10 días del DACO bajo la Ley 111 es una brecha fácil e invisible — no aparece en una evaluación de riesgo de HIPAA, porque no es un requisito de HIPAA en absoluto.
  • Los hábitos del área de recepción suelen ser la verdadera exposición, no la infraestructura de TI. La mayoría de los consultorios que terminan en esta situación no tienen una filtración de datos sofisticada — tienen a un recepcionista o proveedor que, durante años, ha estado enviando resultados de laboratorio o detalles de citas desde una cuenta personal de Gmail porque es conveniente.
  • La solución cuesta mucho menos que la multa. Un plan de correo electrónico empresarial correctamente configurado y respaldado por un BAA (ProtonMail Workspace, Google Workspace o Microsoft 365 Business) cuesta unos pocos dólares por usuario al mes — una cifra insignificante comparada con incluso una sola multa de Nivel 2 de HIPAA.
  • “No lo sabíamos” es cada vez más difícil de argumentar. A medida que la orientación sobre correo electrónico y HIPAA se hace más pública (incluso a través de publicaciones como ésta), la OCR tiene más base para tratar el incumplimiento de un consultorio como Nivel 2 “causa razonable” en lugar de Nivel 1 “falta de conocimiento” — lo cual, por sí solo, puede elevar sustancialmente el rango de la penalidad.

¿Está Tu Consultorio Manejando el Correo Electrónico de los Pacientes de la Forma Correcta? Esto es lo Que Puedes Hacer Hoy.

Si tu consultorio necesita enviar PHI por correo electrónico, esto es lo que realmente te mantiene del lado correcto tanto de HIPAA como de la ley de Puerto Rico:

  • Usa correo electrónico de nivel empresarial con un BAA firmado (por ejemplo, ProtonMail Workspace, Google Workspace o los planes de Microsoft 365 Business/Enterprise, todos ofrecen BAAs).
  • Habilita el cifrado para los mensajes que contengan PHI.
  • Implementa controles de acceso para que solo el personal autorizado pueda ver los mensajes que contienen PHI.
  • Capacita al personal sobre qué se puede y qué no se puede enviar por correo electrónico, y cuándo usar en su lugar un portal seguro para pacientes.
  • Realiza un análisis de riesgo de HIPAA que aborde específicamente cómo se usa el correo electrónico en tu flujo de trabajo.
  • Conoce tus plazos específicos de Puerto Rico por separado de tus plazos de HIPAA — construye un plan de notificación que tome en cuenta el reloj de 10 días del DACO bajo la Ley 111, no solo el límite de 60 días de HIPAA.
  • Asegúrate de que la política de privacidad de tu sitio web satisfaga los requisitos específicos del Reglamento 8568(divulgación de “Do Not Track,” notificación de enmiendas a la política) de forma independiente de tu Aviso de Prácticas de Privacidad de HIPAA.
  • Considera una solución dedicada de mensajería segura o portal para pacientes en lugar del correo electrónico para cualquier información sensible.

En Resumen

No dejes que el titular te asuste pensando que tu cuenta personal de Gmail es automáticamente una violación de cumplimiento — así no funciona HIPAA. Sin embargo, tampoco dejes que la ausencia de una señal de alerta obvia te lleve a la complacencia. En el momento en que el PHI entra a esa bandeja de entrada sin un BAA, cifrado o controles de acceso adecuados, has creado un riesgo regulatorio, financiero y de confianza real — uno sobre el cual la OCR puede actuar incluso sin que ocurra jamás una filtración, y uno que, en Puerto Rico, puede activar un segundo reloj de notificación más rápido que la mayoría de los consultorios no conocen o saben que les aplica. La solución no es complicada: mantén el PHI fuera del correo electrónico de nivel consumidor por completo, o invierte en una plataforma empresarial correctamente configurada y respaldada por un BAA, diseñada para ello.

Si quieres asegurarte de que los hábitos de correo electrónico, la política de privacidad, y el plan de notificación de violaciones de seguridad de tu consultorio realmente cumplan con HIPAA y la ley de Puerto Rico, puedes reservar una consulta con nosotros hoy. Te ayudaremos a cerrar la brecha antes de que una queja de un paciente, una auditoría de la OCR, o un plazo de 10 días incumplido te obligue a actuar bajo mucha presión.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

Una Agencia de Puerto Rico Expuso 1 Millón de Números de Seguro Social y Dijo Que No Pasó Nada. ¿Qué Harías Tú Si Esto Le Pasa a Tu Negocio?

Posted by Jaime Farrant on with 0 Comment

¿Puede una agencia gubernamental simplemente decidir que una exposición de datos no cuenta como una violación de seguridad — y desentenderse de sus deberes de notificación por esa decisión? Esto es precisamente lo que está ocurriendo actualmente en Puerto Rico. Periodistas investigativos del Centro de Periodismo Investigativo y ProPublica recientemente publicaron un artículo donde informaron que el CRIM (el Centro de Recaudación de Ingresos Municipales de Puerto Rico) tenía una brecha de seguridad en su herramienta pública de mapeo de propiedades, el Catastro Digital, que permitía que cualquier persona que entendiera cómo el sitio solicitaba datos pudiera descargar información personal sin protección — incluyendo los números de Seguro Social de aproximadamente 1 millón de personas — sin necesitar nunca un nombre de usuario o contraseña.

Los periodistas notificaron directamente al CRIM a mediados de junio, con detalles específicos sobre el servidor y las carpetas exactas involucradas. El director ejecutivo del CRIM negó públicamente que hubiera ocurrido alguna violación de seguridad, dijo que la agencia no notificaría a los ciudadanos afectados porque ninguna información protegida estaba “en riesgo,” y — por separado — nunca reportó el incidente al Negociado de Innovación y Tecnología de Puerto Rico (“PRITS”), la agencia de ciberseguridad del gobierno de Puerto Rico, a pesar de un requisito legal de hacerlo. Sea cual sea la posición que finalmente adopte el CRIM, este es un caso de estudio real y útil sobre lo que exigen las leyes de Puerto Rico cuando se expone información personal — y lo que ocurre cuando una entidad entiende que esto no ocurrió.

Aquí Aplican 2 Leyes de Puerto Rico Que Apuntan en Direcciones Diferentes

Esta historia es una buena ilustración de algo que vale la pena entender claramente: Puerto Rico tiene dos estatutos separados que regulan incidentes como éste, y no conducen al mismo lugar.

  1. La Ley de Ciberseguridad de Puerto Rico, Ley Número 40 del 18 de enero de 2024 (“Ley 40”) — La Ley 40 aplica a agencias gubernamentales y contratistas del gobierno. El CRIM es una agencia gubernamental, por lo que esta obligada a cumplir con la Ley 40: establecer estándares mínimos de ciberseguridad, realizar evaluaciones de riesgo anuales obligatorias, y — central a esta historia — establecer un protocolo que requiere que las agencias informen a PRITS (el Negociado de Innovación y Tecnología de Puerto Rico) sobre cualquier incidente de seguridad sospechoso. Según CPI y ProPublica, el CRIM no hizo esto en este caso.
  2. La Ley 111 de 2005 (la Ley de Notificación de Violaciones de Seguridad de Puerto Rico) — la ley de notificación de violaciones de seguridad cubierta en nuestra publicación anterior sobre Oriental y Evertec — aplica ampliamente. Su definición de “entidad” incluye agencias, juntas, comisiones e instrumentalidades de las tres ramas del gobierno de Puerto Rico, no solo negocios privados. Así que el CRIM, como agencia gubernamental, parece estar tan cubierto por la Ley 111 como lo estuvo Oriental Bank. El disparador de la ley — acceso no autorizado a un archivo de información personal que contenga un nombre junto con un número de Seguro Social, legible sin cifrado especial — corresponde directamente con lo que se reporta ocurrió aquí.

Estos estatutos difieren en cuanto a que agencia tiene jurisdicción en caso que ocurra una violación. Bajo el Artículo 7 de la Ley 111, cuando ocurre una violación de seguridad en una agencia gubernamental o corporación pública, la jurisdicción no recae en el DACO (la agencia que atiende el caso de Oriental Bank y los que involucren entidades privadas), sino que va a la Oficina del Procurador del Ciudadano, quien está obligado a designar un procurador especializado para el caso. Esta es una vía de cumplimiento significativamente distinta a los casos del sector privado cubiertos anteriormente.

“Yo No Dirijo una Agencia Gubernamental. ¿Por Qué Debe Importarme Esto?”

Si eres dueño de un negocio y estás pensando “no soy una agencia gubernamental, así que esto no me aplica” — aquí hay algunas razones por las cuales esta historia sigue siendo directamente relevante para ti:

  • Si tienes contratos con el Gobierno de Puerto Rico, sus municipios, o corporaciones públicas, la Ley 40 puede aplicarte — el Artículo 2 de la Ley extiende sus requisitos de ciberseguridad a contratistas privados, pero únicamente con respecto a las funciones o servicios públicos que realices y a los datos generados a partir de esa relación con el gobierno, no a tu negocio en general. Si realizas cualquier trabajo de cara al gobierno, vale la pena saber exactamente dónde se traza esa línea en tus contratos.
  • “No creemos que sea una violación de seguridad” no es una estrategia de cumplimiento — es una apuesta. El disparador de notificación en la Ley 111 es el acceso no autorizado a información personal protegida, no la caracterización que la propia empresa (o agencia) haga del incidente. Si tu negocio adopta la posición de que una exposición “no cuenta,” estás haciendo un juicio legal que un regulador, un tribunal, o un periodista investigativo podrían no estar de acuerdo contigo en el futuro. Para ese momento, podrías estar expuesto a penalidades y reclamaciones civiles que pudieron evitarse.
  • Que un tercero descubra el problema es peor que descubrirlo tú mismo. El CRIM no descubrió esto — lo hicieron periodistas, le dieron detalles específicos a la agencia, y ésta lo neegó públicamente. Si la violación de seguridad de tu negocio es descubierta por un cliente, un competidor, o un periodista en lugar de tus técnicos de sistemas, la historia se convierte tanto en la respuesta como en el incidente mismo.
  • La exposición a través de proveedores o plataformas no se limita a “hackeos” evidentes. Esto no fue una intrusión sofisticada — fue una herramienta de cara al público que simplemente no protegió adecuadamente el acceso a la información personal subyacente. La misma categoría de riesgo existe en cualquier lugar donde un negocio exponga formularios, APIs, tableros, o reportes descargables al público sin verificar exactamente qué datos pueden realmente devolver esas herramientas.
  • Una respuesta pública lenta o defensiva agrava la exposición. Sea cual sea el resultado legal de este caso, el escrutinio reputacional y regulatorio que sigue a una negación — en lugar de una respuesta pronta y transparente — tiende a ser peor que el incidente subyacente, especialmente una vez que la historia ya es pública.

¿Está Tu Negocio Preparado Si Algo Similar le Sucede?

  • Trata la pregunta “¿es esto una violación de seguridad?” como un asunto legal, no de relaciones públicas. Analiza cualquier exposición a través de las definiciones reales de la Ley 111 y la Ley 40 antes de decidir si necesitas notificar una agencia o tus clientes — no según cómo pudiera verse el incidente en un titular de noticias.
  • Verifica qué información devuelven tus herramientas de cara al público, no sólo lo que muestran por defecto (“default”). Una interfaz de búsqueda que “no muestra” datos sensitivos en sus resultados normales aún puede exponer esos datos a través de la estructura subyacente de solicitud, exactamente como se reportó aquí.
  • Sepa qué regulador tiene jurisdicción antes de que ocurra un incidente. Los negocios privados responden ante el DACO; las agencias gubernamentales y corporaciones públicas responden ante el Procurador del Ciudadano. Conocer el proceso de antemano evita perder tiempo averiguándolo durante un incidente activo.
  • Determina cómo la Ley 40 podría aplicarte. Si alguno de tus negocios maneja datos como parte de sus obligaciones bajo un contrato con el gobierno de Puerto Rico, necesitas saber cómo — y si — esta ley alcanza esa parte específica de tu trabajo.
  • Construye un árbol de decisiones de notificación con anticipación, para que responder a la pregunta “¿fue esto una violación de seguridad?” no se decida de forma reactiva, bajo escrutinio, por quien sea que esté atendiendo las llamadas de la prensa ese día.

En Resumen

Esta historia es un ejemplo en tiempo real de lo que ocurre cuando una entidad pública o privada adopta la posición de que una exposición no es una violación de seguridad legalmente significativa, en lugar de analizar la situación a través de las leyes y reglamentos potencialmente aplicables. La ley de Puerto Rico no deja la respuesta a la pregunta “¿fue esto una violación de seguridad?” únicamente a la discreción de la entidad que posee los datos — la Ley 111 la define, la Ley 40 añade obligaciones separadas para las agencias gubernamentales y sus contratistas, y ninguno de los dos marcos desaparece sólo porque un ejecutivo diga que no pasó nada.

Para cualquier negocio — no sólo agencias gubernamentales — la lección es la misma que en nuestra publicación anterior: conoce tus obligaciones, conoce tu regulador, y no dejes que la primera vez que pienses seriamente sobre éstos sea el día en que un periodista llame preguntando por qué un millón de números de Seguro Social eran descargables desde tu página web sin una contraseña.

Si quieres asegurarte de que tu negocio cumpla con las leyes de seguridad de datos y notificación de violaciones de seguridad de Puerto Rico y Estados Unidos, reserva una consulta con nosotros hoy. Te ayudaremos a construir un árbol de decisiones, términos contractuales con proveedores, y un plan de acción antes de que un incidente te obligue a crear y ejecutar uno bajo presión.

[2026-07-16]

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.