Tag: attorney

Tu Vendedor de Cámaras de Seguridad Quiere Añadir Una a Tu Baño – ¿Vale la Pena Arriesgar 3 Años de Cárcel por Esto?

Posted by Jaime Farrant on with 0 Comment

Un vendedor de sistemas de seguridad te ofrece un buen negocio: un paquete completo de cámaras para tu oficina o clínica, incluyendo unidades para “cada cuarto” — baños incluidos. ¿Lo debes aceptar esta oferta? La respuesta sencilla es “No“.

Instalar una cámara en un baño no está en una zona gris. En la mayoría de los estados, es un delito específico, una acción civil, o ambos — sin importar si eres dueño del local, si los empleados consintieron a un “monitoreo general” en el trabajo, o si tu intención era puramente prevenir robos.

Todo Tipo de Leyes y Reglamentos Están en Contra de la Oferta de Tu Vendedor

Las leyes de vigilancia por video en Estados Unidos son en práctica un mosaico de estatutos, pero entre ellas hay un principio casi universal: las personas tienen una expectativa razonable de intimidad en espacios donde pueden estar desnudas o parcialmente desvestidas — baños, vestidores y áreas de cambio encabezan esa lista en casi toda jurisdicción.

Las siguientes capas de ley aplican aquí:

1. El vacío de la Ley Federal de Interceptación de Comunicaciones (Wiretap Act) y ECPA no te ayuda aquí. La mayoría de las cámaras de seguridad no graban audio, por lo que generalmente quedan fuera del alcance del Wiretap Act y el Electronic Communications Privacy Act (“ECPA”), ya que esas leyes regulan comunicaciones, no videos silenciosos. Algunos dueños de negocios piensan que “si no hay audio, no hay problema con ECPA” y asumen que eso significa que el video no está regulado. No es así. El silencio en ECPA sobre el video sin audio solo significa que tienes que buscar en otras leyes – y las leyes estatales llenan ese vacío rápidamente, especialmente para los baños.

2. Las leyes estatales prohíben específicamente grabar en baños y áreas de cambio. California, por ejemplo, prohíbe expresamente grabar video en baños, vestidores y lugares donde las personas se cambian de ropa. Muchos estados tienen estatutos similares de “video voyerismo” o “vigilancia ilegal” que criminalizan grabar — o incluso sólo instalar equipo de grabación — en un lugar donde alguien tiene una expectativa razonable de intimidad, sin importar si el material se ve o se usa alguna vez. Estos son frecuentemente delitos graves, y el consentimiento tuyo como dueño del negocio es irrelevante; lo que importa es el consentimiento (o conocimiento) de la persona grabada.

3. Los entornos de salud y otros sectores regulados añaden otra capa. Si diriges una oficina médica, una cámara en el baño también genera problemas colaterales inmediatos: pacientes o empleados visibles en cámara dentro de un baño implica violaciones de dignidad e intimidad que van mucho más allá de las salvaguardas técnicas de HIPAA — es el tipo de situación que termina en una querella ante una junta licenciadora, una noticia en los medios, o ambas.

4. Incluso sin un estatuto específico, el derecho civil común (common law) te alcanzará. Toda jurisdicción en Estados Unidos reconoce alguna versión de la acción de intrusión a la soledad (intrusion upon seclusion): intrusión intencional en los asuntos privados de alguien de una manera que resultaría “sumamente ofensiva para una persona razonable.” Una cámara en el baño es el ejemplo clásico que los tribunales usan para ilustrar este daño. Eso significa que incluso en un estado sin un estatuto criminal específico, un empleado, paciente o cliente que descubra la cámara puede demandarte civilmente — y los jurados tienden a tener poca tolerancia con este tipo de situación.

¿Qué Dicen la Constitución y el Código Penal de Puerto Rico?

Si operas en Puerto Rico, tu exposición es posiblemente mayor que en los 50 estados, ya que el derecho a la intimidad aquí no depende de un mosaico de estatutos estatales y agravios de derecho común. Está escrito directamente en la Constitución.

El Artículo II, Sección 8 de la Constitución de Puerto Rico dispone: “Toda persona tiene derecho a protección de ley contra ataques abusivos a su honra, a su reputación y a su vida privada o familiar.” Más aún, contrario a Estados Unidos, el Tribunal Supremo de Puerto Rico ha resuelto que este derecho constitucgional aplica directamente entre partes privadas, no solo contra la acción gubernamental. En Arroyo v. Rattan Specialties, Inc., 117 D.P.R. 35 (1986), el Tribunal resolvió que el derecho a la intimidad opera ex propio vigore — por su propia fuerza — y puede ser invocado por un ciudadano privado contra otro, incluyendo un patrono contra un empleado. Eso significa que una disputa por una cámara en el baño en Puerto Rico no necesita un estatuto separado para convertirse en una violación constitucional; la propia Constitución resuelve la controversia.

El Código Penal de Puerto Rico respalda esto con una disposición criminal específica. El Artículo 168 del Código Penal de Puerto Rico, titulado “Grabación ilegal de imágenes”, tipifica como delito que cualquier persona, sin justificación legal o sin un propósito investigativo legítimo, utilice equipo electrónico o digital de video — con o sin audio — para realizar vigilancia secreta en lugares privados, o en cualquier otro lugar donde se reconozca una expectativa razonable de intimidad. Un baño es un ejemplo tan claro de esto como puede existir. La convicción por este delito conlleva una pena de reclusión de 3 años, y si la parte convicta es una corporación (o cualquier persona jurídica), enfrenta una multa criminal de hasta $10,000, además de responsabilidad civil.

En conjunto, son 3 problemas legales independientes que se acumulan por aceptar la oferta del vendedor: una violación constitucional a la intimidad que no necesita un estatuto adicional para existir, un estatuto criminal específico que nombra la conducta, y responsabilidad civil por daños. No existe una versión de “no pensamos que esto aplicara” que sobreviva esta situación.

¿Cuánto Te Costará “Hacerlo Mal”?

Si estás comprometido con “proteger” todas las áreas de tu negocio, incluyendo los baños, enfrentas múltiples riesgos y costos reales, particularmente:

  • Responsabilidad criminal: Muchas leyes estatales de video voyerismo o vigilancia ilegal son delitos graves, conllevan multas y posible cárcel para la persona que instala u opera el equipo — que podrías ser tú, personalmente, no sólo “el negocio.”
  • Daños civiles: Las reclamaciones de intrusión a la soledad, entre otras reclamaciones de daños y perjuicios, pueden resultar en daños compensatorios, y los tribunales en Estados Unidos han permitido daños punitivos cuando la conducta se considera grave — una cámara en el baño está cerca de ser el caso paradigmático.
  • Reclamaciones laborales: Si la persona grabada es un empleado, esto podría surgir como una acción legal o administrativa por ambiente hostil de trabajo o despido injustificado si sigue alguna acción disciplinaria tras el descubrimiento.
  • Costo reputacional: A diferencia de una notificación de brecha de datos, este es el tipo de historia que sale en las noticias locales con el nombre de tu negocio en el titular. No hay multa regulatoria que cueste más que la confianza de clientes y pacientes que esto destruye.

¿Por Qué Debe Importarte Esto?

Porque aunque pienses que la oferta que te están haciendo suena razonable, podrías terminar en un gran problema. “Negocio completamente cubierto y protegido” suena como buena práctica de seguridad, y la mayoría de los dueños de negocios que instalan estos sistemas no están tratando de hacer nada invasivo — simplemente están pensando en problemas con entregas, robos, hurto en tiendas y responsabilidad por caídas. Sin embargo, tu buena intención no importa para la mayoría de estos estatutos, y tampoco le importará a un jurado. La ley no pregunta si tuviste buenas intenciones; pregunta si una persona razonable consideraría sumamente ofensivo ser grabada en ese espacio. En un baño, la respuesta ya está decidida.

Este es también un buen momento para auditar todo tu plan de cámaras y seguridad, más allá del baño — porque esa misma conversación con el vendedor es una buena oportunidad para pensar en dónde las cámaras son legalmente correctas (entradas, área de ventas, pasillos, estacionamientos) versus dónde cruzan la línea (baños, áreas de descanso usadas por madres lactantes, oficinas privadas con expectativa de confidencialidad).

¿Qué Puedes Hacer para Cumplir?

  1. Rechaza rotundamente cualquier cámara para baño, vestidor o área de lactancia. No existe aviso, formulario de consentimiento, o rótulo que arregle esto. No la instales, y no dejes que un vendedor la incluya en un paquete “por si acaso cambias de opinión.”
  2. Mapea la ubicación de tus cámaras contra las zonas de expectativa de intimidad. Entradas, cajas registradoras, almacenes, estacionamientos y áreas comunes de trabajo generalmente están bien. Baños, vestidores y oficinas privadas no lo están.
  3. Pon tu política de monitoreo por escrito. Para las cámaras que sí instales, prepara una política escrita — revisada por un abogado — que divulgue ubicaciones, propósito y retención ayuda a establecer aviso y reduce el riesgo de una reclamación relacionada con monitoreo por parte del personal.
  4. Verifica el estatuto específico de tu estado. Las leyes de video voyerismo y vigilancia ilegal varían — algunas cubren sólo propósitos “de gratificación sexual,” otras cubren cualquier grabación en un espacio privado sin importar el propósito. Si operas en Puerto Rico, la disposición aplicable es el Artículo 168 del Código Penal, la cual es más amplia que muchos estatutos estatales ya que no está limitado a un requisito de propósito sexual.
  5. Entrena a quien maneje el material grabado. Los controles de acceso y los límites de retención para material de cámaras legítimo también importan — quién puede verlo, cuánto tiempo se guarda, y cómo se protege.

En Resumen

Dile que sí a las cámaras. Dile que no a las unidades para el baño — siempre, sin excepciones, sin importar cómo se empaquete la oferta o qué tan buen descuento incluya. Esta es una de las pocas áreas del derecho a la intimidad donde no existe una manera de cumplir con la ley; la única respuesta correcta es no instalarla.

Si estás armando un plan de cámaras de seguridad para tu oficina, clínica o negocio de venta al detal y quieres una revisión de cumplimiento antes de firmar nada, reserva una consulta — mejor preguntar antes de instalar las cámaras que después.

Esta publicación es para propósitos informativos generales y no constituye asesoramiento legal. Las leyes sobre cámaras y vigilancia varían según el estado; consulta con un abogado sobre las reglas que aplican a tu ubicación e industria específica.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

Oriental had 10 days to Notify a Breach to Regulators. Could your business – and its vendors – do the same?

Posted by Jaime Farrant on with 0 Comment

In May 2026, Evertec — a payment processor that handles data for banks across Puerto Rico — discovered that an unauthorized party accessed customer information through a third-party support platform, exposing card numbers and, in some cases, names, expiration dates, birth dates, and contact details. Oriental Bank confirmed some of its customers were affected, began notifying them through its mobile app, and started reissuing cards. Under Puerto Rico’s Data Breach Notification Act of 2005, once a breach like this is detected, the responsible parties have a non-extendable 10 days to inform DACO — Puerto Rico’s Department of Consumer Affairs — before the agency makes the matter public. Although 10 days might sound like enough time, take a few minutes to ask yourself: if a vendor you rely on got breached tomorrow, would you even find out in time to hit that deadline — and, does your business actually know who’s responsible for what, or would you be building that answer from scratch under pressure?

What Information is Covered under Puerto Rico’s Breach Notification Act?

If you or your business are Oriental Bank customers, you can go to their site to learn more about the incident and how to protect yourself.

Passed in 2005 to respond to identity theft cases, Law Number 111 of September 7, 2005, called Ley de Información al Ciudadano Sobre la Seguridad de Bancos de Información (translated literally as “Citizen Notification Act on the Security of Information Databases”) requires any entity that owns or holds a data bank (banco de información) containing personal information on Puerto Rico residents to notify those residents when the security of that system is breached. The law’s reach is broad by design: “entity” is defined to include virtually any corporation, partnership, or business operating in Puerto Rico, plus public and private educational institutions — which certainly isn’t limited to banks or financial services.

What counts as protected “personal information archive” under Law 111? 

Any record containing a name (or first initial plus surname) combined with any of the following, in a form that’s readable without a special cryptographic key — meaning a password alone doesn’t count as protection:

  • Social Security number.
  • Driver’s license, voter ID, or other official ID number.
  • Bank or financial account numbers of any kind (this is exactly what was exposed in the Evertec incident).
  • Usernames and passwords to public or private computer systems.
  • HIPAA-protected medical information.
  • Tax information.
  • Employment evaluations.

The Two-Tier Notification Chain

Law 111 sets up a structure that maps almost exactly what’s happening with Evertec and Oriental right now:

  • If your business resells or provides access to a digital data bank containing personal information on behalf of another entity, and that access is breached, you must notify the owner or custodian of that data — not the individual consumers directly.
  • If your business owns or holds the data itself, you must notify the affected residents directly once you learn (from your own systems or from a vendor) that a breach has occurred.

In the current case, Evertec — as the vendor providing the data processing — sits in the first category; Oriental Bank and other affected financial institutions, as the data owners with the direct customer relationship, sit in the second. That’s precisely the chain Law 111 anticipated: the vendor notifies the institution, the institution notifies the customer.

On the ground, this has looked like concrete remediation alongside notification: Oriental’s CEO has said the bank is proactively reissuing cards to affected customers, describing replacement as the most secure way to close out any risk, and has pointed customers to the bank’s mobile app as a direct channel to check whether their account was affected and what steps to take — including reviewing in-app notifications, using card lock/freeze controls, and monitoring transactions for anything unauthorized. 

Whatever the eventual full scope of the incident turns out to be, this is a useful real-world picture of what the response side of a Law 111 notification can look like in practice: a specific, accessible channel for customers to get answers, paired with an actual remediation step (card replacement) rather than notification alone.

The Deadlines Are Specific — and Short

  • Notification to affected residents must happen “as expeditiously as possible,” with allowance made for law enforcement’s need to secure evidence and for restoring system security.
  • Separately, and non-negotiably: the responsible parties must inform DACO (Puerto Rico’s Department of Consumer Affairs) within 10 days of detecting the breach — a deadline that Law 111 explicitly calls “non-extendable”.
  • Once DACO receives that information, it must make a public announcement within 24 hours.
  • The notice itself must be clear and conspicuous, describe the breach in general terms along with the type of sensitive information involved, and include a toll-free number or website for more information.
  • If direct notification would cost more than $100,000 or affect more than 100,000 people, the law allows substitute notice instead through a prominent posting at the business and on its website, plus notification to media outlets.

The Penalty — Up to $5,000 in fines, but Unlimited in the Courts

Under Article 10 of Law 111, DACO’s Secretary can impose fines of $500 to $5,000 per violation. However, this article also states that these fines don’t replace a consumer’s right to separately sue for damages in court. For a breach affecting thousands of cardholders like this one, the administrative fine will probalby be the least of their worries, as the aggregate exposure from private litigation is where the real financial risks will lie.

Why Should You Care about this?

  • This isn’t just a “big bank” law. Any business — for example, a medical office, a law firm, a retailer, a school — that holds a customer or client database containing names paired with social security numbers, account numbers, or login credentials is required to comply with Law 111.
  • Vendor breaches legally are your breaches. If a payment processor, cloud host, or vendor you use gets breached, Law 111’s chain means the notification obligation to your own customers may land on you, not just the vendor — so knowing which of your vendors hold this kind of data matters before an incident, not after.
  • The 10-day DACO clock is unforgiving. “Non-extendable” means exactly that. A business that doesn’t already have an incident-response plan mapping out who does what within that window is racing the clock for the first time during the worst possible moment.
  • Password protection alone doesn’t exempt you. Law 111 specifically requires something beyond a password — real encryption — before data falls outside the notification requirement. A lot of small businesses assume “password-protected” is enough. It isn’t, under this statute.

Is Your Business Prepared to Handle a Breach? Here Are a Few Things You Can Start Doing Today

  • Know exactly which of your vendors hold PR-resident personal data, and draft vendor contracts that require them to notify you immediately – ideally within 24 hours – of any breach. You will not be able to meet the 10-day DACO deadline if you’re the last to know.
  • Have a breach-notification plan ready before you need it — template notices, a designated point of contact, and a clear internal escalation path so the 10-day window isn’t spent figuring out who’s in charge.
  • Actually encrypt sensitive data, not just password-protect it — encryption is what takes a breach outside this law’s notification trigger in the first place.
  • Don’t assume “no evidence of misuse” ends the matter and avoids liability  — the notification duty is triggered by unauthorized access itself, not by proof that the data was actually misused.

The Bottom Line

The Evertec/Oriental situation is an unfortunate illustration of exactly the chain Puerto Rico lawmakers anticipated back in 2005: a vendor breach flowing through to bank notifications, DACO oversight, and public disclosure. Whatever the outcome of that specific case, the broader lesson holds for any business handling personal data of Puerto Rican residents: this law applies whether or not you’re a bank, the clock starts the moment you detect the breach, and “we didn’t know because our vendor didn’t tell us fast enough” isn’t a defense allowed by the law.

If you want to make sure your business complies with U.S. and Puerto Rico privacy and data-security laws — including having a breach-notification plan that actually meets Law 111’s deadlines — you can book an appointment with us today. We’re ready to help you map your data, your vendors, and your obligations before an incident forces you to learn them the hard way.

[2026-07-13]

About the Author

Jaime Farrant is admitted to practice law in Puerto Rico, New York, Maryland and the District of Columbia. This article is for informational purposes only and does not constitute legal advice or create an attorney-client relationship.

ADVERTISING MATERIAL. This article constitutes advertising as defined by the professional conduct rules in New York (22 NYCRR 1200.7.1 and 1200.7.3), Maryland (Rule 19-307.1 and 19-307.2), and the District of Columbia (D.C. Rules of Professional Conduct 7.1), and the Puerto Rico Rules of Professional Conduct (Rules 7.1-7.3). It is not solicitation of prospective clients known to need legal services in a particular matter. Instead, it is general information directed to the public about the practice of law and available legal services. No attorney-client relationship is created by your reading of this article or by contacting the author. Consult qualified counsel in each jurisdiction with specific situations.

Cómo establecer y operar un alojamiento a corto plazo en Puerto Rico

Posted by Jaime Farrant on with 0 Comment

Por: Jaime Farrant, LL.M.

¿Te interesa preparar una propiedad en Puerto Rico para alquilarla a turistas locales o extranjeros, ya sea por tu cuenta o usando plataformas como Airbnb? Si la respuesta es sí, aquí puedes conocer más sobre algunos de los pasos más importantes que necesitas tomar para poder comenzar a recibir huespedes:

  1. Crear una persona jurídica – Al incorporarte, estás creando una “persona jurídica”, lo cual, como regla general, te protege de responsabilidad en caso que te demanden por un daño ocurrido en la propiedad. Las leyes puertorriqueñas establecen varias formas de incorporación, para que escojas la que más te convenga.
  2. Inscribirte en Hacienda – Necesitarás obtener un Registro de Comerciante para poder operar tu empresa y obtener los permisos requeridos.
  3. Obtener un Permiso de Uso – tendrás que solicitar un permiso de uso con la Oficina de Gerencias y Permisos.
  4. Registrarte en tu Municipio – Recuerda que tendrás que registrarte en el Municipio para pagar patentes municipales. Además, si tu propiedad está en el Municipio de Dorado, tendrás que cumplir con la Ordenanza Núm. 7 del 27 de enero de 2021. Hay otros municipios contemplando crear sus propias ordenanzas en este tema, así que, tendrás que darle seguimiento a los municipios o contratar un abogado que lo haga por tí.
  5. Investigar si calificas para algún incentivo económico.
  6. Registrarte como hostelero con la Compañía de Turismo.
  7. Registrarte con Airbnb o con las plataformas que desees anunciar tu propiedad.
  8. Cumplir con el Reglamento de Hospederías de Puerto Rico, en particular, con su capítulo VIII. Este Reglamento dispone, por ejemplo, que no puedes tener más de 6 unidades para alquilar en una estructura.
  9. Comenzar a operar el alojamiento.
  10. Retener el 7% de impuesto por ocupación e informarlo a Turismo en la Declaración Mensual de Impuestos. Si te registras con Airbnb, ellos hacen esta deducción directamente de la reservación.

Como ves, el proceso para operar un Airbnb es bastante complejo y extenso. En Farrant LLC, estamos disponibles para asesorarte y representarte durante todo este proceso necesario para que puedas operar este negocio. Escribe o llámanos hoy para sacar una cita y conversar sobre como te podemos ayudar.

v. 2023-02-25