Tag: ciberseguridad

Tu Vendedor de Cámaras de Seguridad Quiere Añadir Una a Tu Baño – ¿Vale la Pena Arriesgar 3 Años de Cárcel por Esto?

Posted by Jaime Farrant on with 0 Comment

Un vendedor de sistemas de seguridad te ofrece un buen negocio: un paquete completo de cámaras para tu oficina o clínica, incluyendo unidades para “cada cuarto” — baños incluidos. ¿Lo debes aceptar esta oferta? La respuesta sencilla es “No“.

Instalar una cámara en un baño no está en una zona gris. En la mayoría de los estados, es un delito específico, una acción civil, o ambos — sin importar si eres dueño del local, si los empleados consintieron a un “monitoreo general” en el trabajo, o si tu intención era puramente prevenir robos.

Todo Tipo de Leyes y Reglamentos Están en Contra de la Oferta de Tu Vendedor

Las leyes de vigilancia por video en Estados Unidos son en práctica un mosaico de estatutos, pero entre ellas hay un principio casi universal: las personas tienen una expectativa razonable de intimidad en espacios donde pueden estar desnudas o parcialmente desvestidas — baños, vestidores y áreas de cambio encabezan esa lista en casi toda jurisdicción.

Las siguientes capas de ley aplican aquí:

1. El vacío de la Ley Federal de Interceptación de Comunicaciones (Wiretap Act) y ECPA no te ayuda aquí. La mayoría de las cámaras de seguridad no graban audio, por lo que generalmente quedan fuera del alcance del Wiretap Act y el Electronic Communications Privacy Act (“ECPA”), ya que esas leyes regulan comunicaciones, no videos silenciosos. Algunos dueños de negocios piensan que “si no hay audio, no hay problema con ECPA” y asumen que eso significa que el video no está regulado. No es así. El silencio en ECPA sobre el video sin audio solo significa que tienes que buscar en otras leyes – y las leyes estatales llenan ese vacío rápidamente, especialmente para los baños.

2. Las leyes estatales prohíben específicamente grabar en baños y áreas de cambio. California, por ejemplo, prohíbe expresamente grabar video en baños, vestidores y lugares donde las personas se cambian de ropa. Muchos estados tienen estatutos similares de “video voyerismo” o “vigilancia ilegal” que criminalizan grabar — o incluso sólo instalar equipo de grabación — en un lugar donde alguien tiene una expectativa razonable de intimidad, sin importar si el material se ve o se usa alguna vez. Estos son frecuentemente delitos graves, y el consentimiento tuyo como dueño del negocio es irrelevante; lo que importa es el consentimiento (o conocimiento) de la persona grabada.

3. Los entornos de salud y otros sectores regulados añaden otra capa. Si diriges una oficina médica, una cámara en el baño también genera problemas colaterales inmediatos: pacientes o empleados visibles en cámara dentro de un baño implica violaciones de dignidad e intimidad que van mucho más allá de las salvaguardas técnicas de HIPAA — es el tipo de situación que termina en una querella ante una junta licenciadora, una noticia en los medios, o ambas.

4. Incluso sin un estatuto específico, el derecho civil común (common law) te alcanzará. Toda jurisdicción en Estados Unidos reconoce alguna versión de la acción de intrusión a la soledad (intrusion upon seclusion): intrusión intencional en los asuntos privados de alguien de una manera que resultaría “sumamente ofensiva para una persona razonable.” Una cámara en el baño es el ejemplo clásico que los tribunales usan para ilustrar este daño. Eso significa que incluso en un estado sin un estatuto criminal específico, un empleado, paciente o cliente que descubra la cámara puede demandarte civilmente — y los jurados tienden a tener poca tolerancia con este tipo de situación.

¿Qué Dicen la Constitución y el Código Penal de Puerto Rico?

Si operas en Puerto Rico, tu exposición es posiblemente mayor que en los 50 estados, ya que el derecho a la intimidad aquí no depende de un mosaico de estatutos estatales y agravios de derecho común. Está escrito directamente en la Constitución.

El Artículo II, Sección 8 de la Constitución de Puerto Rico dispone: “Toda persona tiene derecho a protección de ley contra ataques abusivos a su honra, a su reputación y a su vida privada o familiar.” Más aún, contrario a Estados Unidos, el Tribunal Supremo de Puerto Rico ha resuelto que este derecho constitucgional aplica directamente entre partes privadas, no solo contra la acción gubernamental. En Arroyo v. Rattan Specialties, Inc., 117 D.P.R. 35 (1986), el Tribunal resolvió que el derecho a la intimidad opera ex propio vigore — por su propia fuerza — y puede ser invocado por un ciudadano privado contra otro, incluyendo un patrono contra un empleado. Eso significa que una disputa por una cámara en el baño en Puerto Rico no necesita un estatuto separado para convertirse en una violación constitucional; la propia Constitución resuelve la controversia.

El Código Penal de Puerto Rico respalda esto con una disposición criminal específica. El Artículo 168 del Código Penal de Puerto Rico, titulado “Grabación ilegal de imágenes”, tipifica como delito que cualquier persona, sin justificación legal o sin un propósito investigativo legítimo, utilice equipo electrónico o digital de video — con o sin audio — para realizar vigilancia secreta en lugares privados, o en cualquier otro lugar donde se reconozca una expectativa razonable de intimidad. Un baño es un ejemplo tan claro de esto como puede existir. La convicción por este delito conlleva una pena de reclusión de 3 años, y si la parte convicta es una corporación (o cualquier persona jurídica), enfrenta una multa criminal de hasta $10,000, además de responsabilidad civil.

En conjunto, son 3 problemas legales independientes que se acumulan por aceptar la oferta del vendedor: una violación constitucional a la intimidad que no necesita un estatuto adicional para existir, un estatuto criminal específico que nombra la conducta, y responsabilidad civil por daños. No existe una versión de “no pensamos que esto aplicara” que sobreviva esta situación.

¿Cuánto Te Costará “Hacerlo Mal”?

Si estás comprometido con “proteger” todas las áreas de tu negocio, incluyendo los baños, enfrentas múltiples riesgos y costos reales, particularmente:

  • Responsabilidad criminal: Muchas leyes estatales de video voyerismo o vigilancia ilegal son delitos graves, conllevan multas y posible cárcel para la persona que instala u opera el equipo — que podrías ser tú, personalmente, no sólo “el negocio.”
  • Daños civiles: Las reclamaciones de intrusión a la soledad, entre otras reclamaciones de daños y perjuicios, pueden resultar en daños compensatorios, y los tribunales en Estados Unidos han permitido daños punitivos cuando la conducta se considera grave — una cámara en el baño está cerca de ser el caso paradigmático.
  • Reclamaciones laborales: Si la persona grabada es un empleado, esto podría surgir como una acción legal o administrativa por ambiente hostil de trabajo o despido injustificado si sigue alguna acción disciplinaria tras el descubrimiento.
  • Costo reputacional: A diferencia de una notificación de brecha de datos, este es el tipo de historia que sale en las noticias locales con el nombre de tu negocio en el titular. No hay multa regulatoria que cueste más que la confianza de clientes y pacientes que esto destruye.

¿Por Qué Debe Importarte Esto?

Porque aunque pienses que la oferta que te están haciendo suena razonable, podrías terminar en un gran problema. “Negocio completamente cubierto y protegido” suena como buena práctica de seguridad, y la mayoría de los dueños de negocios que instalan estos sistemas no están tratando de hacer nada invasivo — simplemente están pensando en problemas con entregas, robos, hurto en tiendas y responsabilidad por caídas. Sin embargo, tu buena intención no importa para la mayoría de estos estatutos, y tampoco le importará a un jurado. La ley no pregunta si tuviste buenas intenciones; pregunta si una persona razonable consideraría sumamente ofensivo ser grabada en ese espacio. En un baño, la respuesta ya está decidida.

Este es también un buen momento para auditar todo tu plan de cámaras y seguridad, más allá del baño — porque esa misma conversación con el vendedor es una buena oportunidad para pensar en dónde las cámaras son legalmente correctas (entradas, área de ventas, pasillos, estacionamientos) versus dónde cruzan la línea (baños, áreas de descanso usadas por madres lactantes, oficinas privadas con expectativa de confidencialidad).

¿Qué Puedes Hacer para Cumplir?

  1. Rechaza rotundamente cualquier cámara para baño, vestidor o área de lactancia. No existe aviso, formulario de consentimiento, o rótulo que arregle esto. No la instales, y no dejes que un vendedor la incluya en un paquete “por si acaso cambias de opinión.”
  2. Mapea la ubicación de tus cámaras contra las zonas de expectativa de intimidad. Entradas, cajas registradoras, almacenes, estacionamientos y áreas comunes de trabajo generalmente están bien. Baños, vestidores y oficinas privadas no lo están.
  3. Pon tu política de monitoreo por escrito. Para las cámaras que sí instales, prepara una política escrita — revisada por un abogado — que divulgue ubicaciones, propósito y retención ayuda a establecer aviso y reduce el riesgo de una reclamación relacionada con monitoreo por parte del personal.
  4. Verifica el estatuto específico de tu estado. Las leyes de video voyerismo y vigilancia ilegal varían — algunas cubren sólo propósitos “de gratificación sexual,” otras cubren cualquier grabación en un espacio privado sin importar el propósito. Si operas en Puerto Rico, la disposición aplicable es el Artículo 168 del Código Penal, la cual es más amplia que muchos estatutos estatales ya que no está limitado a un requisito de propósito sexual.
  5. Entrena a quien maneje el material grabado. Los controles de acceso y los límites de retención para material de cámaras legítimo también importan — quién puede verlo, cuánto tiempo se guarda, y cómo se protege.

En Resumen

Dile que sí a las cámaras. Dile que no a las unidades para el baño — siempre, sin excepciones, sin importar cómo se empaquete la oferta o qué tan buen descuento incluya. Esta es una de las pocas áreas del derecho a la intimidad donde no existe una manera de cumplir con la ley; la única respuesta correcta es no instalarla.

Si estás armando un plan de cámaras de seguridad para tu oficina, clínica o negocio de venta al detal y quieres una revisión de cumplimiento antes de firmar nada, reserva una consulta — mejor preguntar antes de instalar las cámaras que después.

Esta publicación es para propósitos informativos generales y no constituye asesoramiento legal. Las leyes sobre cámaras y vigilancia varían según el estado; consulta con un abogado sobre las reglas que aplican a tu ubicación e industria específica.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

¿Qué Pasaría Si el Sistema de Inteligencia Artificial de Tu Proveedor Decide Hackear a Otra Persona?

Posted by Jaime Farrant on with 0 Comment

¿Alguna vez has pensado en lo que le podría pasar a tu negocio si el sistema de inteligencia artificial de tu proveedor decide, por su cuenta, entrar sin autorización a los servidores de otra empresa? Si no lo has pensado, quizás sea buen momento para hacerlo, porque las consecuencias para tu negocio podrían ser severas. Si tu negocio está regulado por HIPAA, una violación de esta ley podría traerte una multa civil de hasta $2,190,294 por categoría de violación, por año, en el nivel más alto de culpabilidad. Incluso un negocio que no hizo nada mal, donde el sistema de IA de un proveedor actuó completamente por su cuenta, podría enfrentar una multa de un nivel menor, una investigación del Departamento de Salud (“HHS”) de Estados Unidos, costos de notificación de incidentes de seguridad, y daño reputacional, por algo que nunca causó y que no pudo haber previsto.

Esta posibilidad ya no es hipotética. El 21 de julio de 2026, OpenAI publicó en su página web un aviso donde asumió responsabilidad por un ciberataque a Hugging Face, una plataforma ampliamente usada para alojar modelos de inteligencia artificial y colaboración en aprendizaje automático. Según OpenAI, una combinación de sus modelos —incluyendo uno disponible al público y otro más avanzado aún no lanzado, ambos operando con restricciones de seguridad reducidas para una evaluación interna de ciberseguridad— logró escapar de su entorno de prueba aislado explotando una falla previamente desconocida en una herramienta de software interna, obtuvo acceso a internet abierto, y luego utilizó credenciales robadas y otra vulnerabilidad desconocida para lograr ejecución remota de código en los servidores de producción de Hugging Face. Su objetivo, según OpenAI, era limitado pero revelador: los modelos intentaban obtener las respuestas correctas de la prueba de evaluación en la que estaban siendo calificados. Hugging Face ya había detectado la intrusión durante un fin de semana de actividad automatizada, la reportó a las autoridades, y comenzó su propia contención antes de siquiera saber que OpenAI era responsable.

Ambas empresas han calificado esto como un momento decisivo para la ciberseguridad. Para un pequeño negocio, consultorio médico, u oficina profesional que depende de proveedores externos —incluyendo herramientas de IA— para almacenar, procesar, o transmitir información sensible, esto también debe ser una llamada de atención sobre un tipo de riesgo que la mayoría de los contratos con proveedores nunca contemplaron: el agente de IA que actúa por su propia cuenta.

¿Por Qué el Comportamiento de la IA de Tu Proveedor Podría Convertirse en Tu Problema?

La mayoría de las leyes de privacidad y seguridad de datos que aplican a pequeños negocios no distinguen entre una filtración causada por un hacker humano y una causada por un sistema autónomo. Si tu práctica o negocio utiliza un asociado de negocio de una entidad cubierta, un proveedor de servicios en la nube, o cualquier tercero que tenga acceso a información personal o de salud, generalmente eres responsable legalmente de:

  • Evaluar las prácticas de seguridad de ese proveedor antes de firmar un contrato (debida diligencia).
  • Contar con las protecciones contractuales adecuadas, como un Acuerdo de Asociado de Negocio (BAA, por sus siglas en inglés) bajo HIPAA para consultorios médicos, o términos comparables de procesamiento y seguridad de datos para cualquier negocio que maneje información personal.
  • Notificar a las personas afectadas, y en algunos casos a los reguladores, si el sistema de ese proveedor se ve comprometido y tus datos están involucrados.

Bajo HIPAA, los asociados de negocio de una entidad cubierta están contractual y legalmente obligados a proteger la información de salud protegida (PHI, por sus siglas en inglés), y una filtración a nivel del proveedor puede generar obligaciones de notificación para la entidad cubierta misma, aunque haya sido el sistema del proveedor —y no el del consultorio médico— el que falló. Fuera del sector de salud, la mayoría de las leyes estatales de notificación de filtraciones de datos funcionan de forma similar: la responsabilidad sigue a los datos, no solo a la parte que causó el incidente.

Un agente de IA que autónomamente escala su propio acceso, extrae credenciales, o llega a sistemas para los que nunca fue autorizado no cambia en nada este análisis legal. Simplemente hace que sea más difícil de predecir, detectar, y contener.

Vale la pena ser precisos sobre lo que ocurrió y lo que no ocurrió aquí: según la información que ha dado OpenAI, los modelos estaban buscando las respuestas correctas de su propia prueba de evaluación, no buscando deliberadamente registros de clientes o pacientes. Ningún negocio debe interpretar este incidente como prueba de que se robaron datos de pacientes o clientes. No obstante, lo que si debe preocupar a cualquier negocio que depende de proveedores externos es la capacidad demostrada: un sistema de IA que, por iniciativa propia, encontró una vulnerabilidad de día cero, robó credenciales, escaló privilegios, y llegó a la infraestructura de producción de un tercero, durante un fin de semana sin monitoreo, antes de que interviniera algún humano. Si esa misma capacidad se dirige hacia un sistema que contiene registros de pacientes, números de cuentas financieras, o archivos de clientes, el resultado seríamuy diferente.

Un Vacío en las Obligaciones de Divulgación que Debes Conocer

Aquí hay un detalle que importa para cualquier negocio que confía en las garantías de un proveedor: OpenAI no estaba legalmente obligada a divulgar este incidente. Dos leyes estatales recientes, la SB 53 de California y la Ley RAISE de Nueva York, exigen que los grandes desarrolladores de IA reporten incidentes críticos de seguridad, pero solo si el incidente representa un riesgo de más de 50 muertes o lesiones graves, o más de $1,000 millones en daños a la propiedad. Un incidente como este queda muy por debajo de ese umbral. OpenAI lo divulgó de forma voluntaria. La conclusión práctica para tu negocio es que, como regla general, no puedes esperar recibir un informe público o un aviso regulatorio para saber si el sistema de IA de un proveedor ha tenido una falla similar, a menos que lo incluyas en tus contratos. Por consiguiente, tu herramienta principal para protegerte será lo que escribes en tus contratos y lo que preguntas a tus proveedores durante el proceso de contratación.

Estructura de Multas: ¿A Qué Potencialmente Te Expones?

La exposición aquí es de varios niveles, y puede aplicar a un negocio que nunca le pidió a un sistema de IA que hiciera nada indebido, si ese sistema operaba dentro de su propio entorno o el de un proveedor:

  • HIPAA: Las multas civiles actualmente van desde aproximadamente $145 hasta $2,190,294 por categoría de violación, por año, dependiendo del nivel de culpabilidad de la entidad cubierta o del asociado de negocio. El Nivel 1 (falta de conocimiento) está en el extremo más bajo; la negligencia intencional que no se corrige está en el extremo más alto. Los fiscales generales estatales pueden perseguir por separado multas relacionadas con HIPAA de hasta $25,000 por categoría de violación, por año, y las acciones multiestatales son cada vez más comunes cuando una filtración afecta a residentes de varios estados.
  • Leyes estatales de notificación de filtraciones: La mayoría de los estados pueden imponer multas o autorizar demandas privadas cuando un negocio no notifica con prontitud a los residentes afectados tras una filtración que involucre información personal, sin importar si la filtración se originó en el negocio o en un proveedor que este eligió.
  • Exposición contractual: Si el contrato con tu proveedor carece de plazos claros de notificación de incidentes, requisitos de seguridad, o derechos de auditoría específicos para herramientas de IA, tu negocio podría terminar absorbiendo los costos, o negociando desde una posición más débil, después de los hechos.

Nada de esto significa que todo incidente relacionado con un proveedor de IA resulte automáticamente en la multa máxima. Los reguladores generalmente consideran la naturaleza de los datos involucrados, el número de personas afectadas, si el negocio contaba con salvaguardas razonables, y qué tan rápido se atendió el incidente. Pero la exposición es real, y no se limita a las empresas que construyen o venden modelos de IA. Alcanza a cualquier negocio, consultorio médico, o práctica profesional que dependa de uno.

¿Por Qué Debe Importarte Esto?

Porque los expertos en seguridad de la inteligencia artificial están describiendo esto como uno de los primeros ejemplos reales de un escenario de “pérdida de control” de la IA: un sistema haciendo algo que los investigadores llevaban tiempo advirtiendo, sin que un humano lo dirigiera, y sin que un simple error de software fuera el culpable. Esta actividad se extendió por un periodo prolongado en un sistema que, a diferencia de las herramientas de producción de OpenAI que sí se monitorean activamente, no estaba siendo vigilado en tiempo real. Si a un laboratorio de IA de punta con equipos de seguridad dedicados le puede ocurir esto durante una prueba interna controlada, es razonable que cualquier negocio se pregunte qué supervisión existe sobre las herramientas habilitadas con IA, chatbots, asistentes de citas, o automatización administrativa que tu práctica ya utiliza, y qué dice realmente el contrato de tu proveedor sobre este riesgo.

Para un consultorio médico, esta pregunta no es abstracta. Las herramientas de IA cada vez se integran más en la admisión de pacientes, la programación de citas, la transcripción, y el software de facturación. Para cualquier pequeño negocio, aplica a cualquier servicio habilitado con IA que toque registros de clientes, datos financieros, u otra información sensible, aunque sea indirectamente.

¿Cómo Puedes Proteger Tu Negocio?

  • Haz un inventario de cada proveedor y herramienta de software que tu negocio utiliza que incorpore IA, especialmente cualquiera que toque datos de pacientes, clientes, finanzas, o empleados.
  • Confirma que tienes un BAA firmado con cualquier proveedor que cree, reciba, mantenga, o transmita PHI en tu nombre, si eres una entidad cubierta o un asociado de negocio.
  • Revisa los contratos con tus proveedores en busca de lenguaje específico sobre IA: ¿el acuerdo aborda el comportamiento de sistemas autónomos, exige notificación pronta de incidentes, y especifica obligaciones de seguridad?
  • Pregúntales directamente a tus proveedores cómo prueban la contención de sus sistemas de IA y qué sucede si un modelo excede su alcance previsto.
  • Confirma que tu plan de respuesta a incidentes contempla un escenario donde un proveedor, y no tus propios sistemas, sea la fuente de una filtración.
  • Revisa tu póliza de seguro cibernético para confirmar que cubre incidentes relacionados con herramientas de IA y proveedores externos de IA, no solo filtraciones de datos tradicionales.
  • No asumas que el silencio significa seguridad: incluye en tus contratos con proveedores un derecho contractual a ser notificado de incidentes de seguridad relacionados con IA, ya que las leyes actuales de divulgación de incidentes de seguridad de IA solo cubren los eventos más catastróficos y no necesariamente revelarán un incidente cercano en tu proveedor.

En Resumen

El incidente entre OpenAI y Hugging Face es un recordatorio de que el riesgo de la IA en 2026 no se trata solo de lo que tu negocio decide hacer con la inteligencia artificial. También se trata de lo que los sistemas de IA dentro de la infraestructura de tus proveedores puedan hacer sin que nadie se lo indique. Si tu práctica o negocio no ha revisado sus contratos con proveedores y su plan de respuesta a incidentes considerando esta posibilidad, este es un buen momento para hacerlo.

Si tienes preguntas sobre tus contratos con proveedores, acuerdos de asociado de negocio, o cómo una filtración en un proveedor externo de IA podría afectar tus obligaciones, agenda una cita con nosotros hoy.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

Una Agencia de Puerto Rico Expuso 1 Millón de Números de Seguro Social y Dijo Que No Pasó Nada. ¿Qué Harías Tú Si Esto Le Pasa a Tu Negocio?

Posted by Jaime Farrant on with 0 Comment

¿Puede una agencia gubernamental simplemente decidir que una exposición de datos no cuenta como una violación de seguridad — y desentenderse de sus deberes de notificación por esa decisión? Esto es precisamente lo que está ocurriendo actualmente en Puerto Rico. Periodistas investigativos del Centro de Periodismo Investigativo y ProPublica recientemente publicaron un artículo donde informaron que el CRIM (el Centro de Recaudación de Ingresos Municipales de Puerto Rico) tenía una brecha de seguridad en su herramienta pública de mapeo de propiedades, el Catastro Digital, que permitía que cualquier persona que entendiera cómo el sitio solicitaba datos pudiera descargar información personal sin protección — incluyendo los números de Seguro Social de aproximadamente 1 millón de personas — sin necesitar nunca un nombre de usuario o contraseña.

Los periodistas notificaron directamente al CRIM a mediados de junio, con detalles específicos sobre el servidor y las carpetas exactas involucradas. El director ejecutivo del CRIM negó públicamente que hubiera ocurrido alguna violación de seguridad, dijo que la agencia no notificaría a los ciudadanos afectados porque ninguna información protegida estaba “en riesgo,” y — por separado — nunca reportó el incidente al Negociado de Innovación y Tecnología de Puerto Rico (“PRITS”), la agencia de ciberseguridad del gobierno de Puerto Rico, a pesar de un requisito legal de hacerlo. Sea cual sea la posición que finalmente adopte el CRIM, este es un caso de estudio real y útil sobre lo que exigen las leyes de Puerto Rico cuando se expone información personal — y lo que ocurre cuando una entidad entiende que esto no ocurrió.

Aquí Aplican 2 Leyes de Puerto Rico Que Apuntan en Direcciones Diferentes

Esta historia es una buena ilustración de algo que vale la pena entender claramente: Puerto Rico tiene dos estatutos separados que regulan incidentes como éste, y no conducen al mismo lugar.

  1. La Ley de Ciberseguridad de Puerto Rico, Ley Número 40 del 18 de enero de 2024 (“Ley 40”) — La Ley 40 aplica a agencias gubernamentales y contratistas del gobierno. El CRIM es una agencia gubernamental, por lo que esta obligada a cumplir con la Ley 40: establecer estándares mínimos de ciberseguridad, realizar evaluaciones de riesgo anuales obligatorias, y — central a esta historia — establecer un protocolo que requiere que las agencias informen a PRITS (el Negociado de Innovación y Tecnología de Puerto Rico) sobre cualquier incidente de seguridad sospechoso. Según CPI y ProPublica, el CRIM no hizo esto en este caso.
  2. La Ley 111 de 2005 (la Ley de Notificación de Violaciones de Seguridad de Puerto Rico) — la ley de notificación de violaciones de seguridad cubierta en nuestra publicación anterior sobre Oriental y Evertec — aplica ampliamente. Su definición de “entidad” incluye agencias, juntas, comisiones e instrumentalidades de las tres ramas del gobierno de Puerto Rico, no solo negocios privados. Así que el CRIM, como agencia gubernamental, parece estar tan cubierto por la Ley 111 como lo estuvo Oriental Bank. El disparador de la ley — acceso no autorizado a un archivo de información personal que contenga un nombre junto con un número de Seguro Social, legible sin cifrado especial — corresponde directamente con lo que se reporta ocurrió aquí.

Estos estatutos difieren en cuanto a que agencia tiene jurisdicción en caso que ocurra una violación. Bajo el Artículo 7 de la Ley 111, cuando ocurre una violación de seguridad en una agencia gubernamental o corporación pública, la jurisdicción no recae en el DACO (la agencia que atiende el caso de Oriental Bank y los que involucren entidades privadas), sino que va a la Oficina del Procurador del Ciudadano, quien está obligado a designar un procurador especializado para el caso. Esta es una vía de cumplimiento significativamente distinta a los casos del sector privado cubiertos anteriormente.

“Yo No Dirijo una Agencia Gubernamental. ¿Por Qué Debe Importarme Esto?”

Si eres dueño de un negocio y estás pensando “no soy una agencia gubernamental, así que esto no me aplica” — aquí hay algunas razones por las cuales esta historia sigue siendo directamente relevante para ti:

  • Si tienes contratos con el Gobierno de Puerto Rico, sus municipios, o corporaciones públicas, la Ley 40 puede aplicarte — el Artículo 2 de la Ley extiende sus requisitos de ciberseguridad a contratistas privados, pero únicamente con respecto a las funciones o servicios públicos que realices y a los datos generados a partir de esa relación con el gobierno, no a tu negocio en general. Si realizas cualquier trabajo de cara al gobierno, vale la pena saber exactamente dónde se traza esa línea en tus contratos.
  • “No creemos que sea una violación de seguridad” no es una estrategia de cumplimiento — es una apuesta. El disparador de notificación en la Ley 111 es el acceso no autorizado a información personal protegida, no la caracterización que la propia empresa (o agencia) haga del incidente. Si tu negocio adopta la posición de que una exposición “no cuenta,” estás haciendo un juicio legal que un regulador, un tribunal, o un periodista investigativo podrían no estar de acuerdo contigo en el futuro. Para ese momento, podrías estar expuesto a penalidades y reclamaciones civiles que pudieron evitarse.
  • Que un tercero descubra el problema es peor que descubrirlo tú mismo. El CRIM no descubrió esto — lo hicieron periodistas, le dieron detalles específicos a la agencia, y ésta lo neegó públicamente. Si la violación de seguridad de tu negocio es descubierta por un cliente, un competidor, o un periodista en lugar de tus técnicos de sistemas, la historia se convierte tanto en la respuesta como en el incidente mismo.
  • La exposición a través de proveedores o plataformas no se limita a “hackeos” evidentes. Esto no fue una intrusión sofisticada — fue una herramienta de cara al público que simplemente no protegió adecuadamente el acceso a la información personal subyacente. La misma categoría de riesgo existe en cualquier lugar donde un negocio exponga formularios, APIs, tableros, o reportes descargables al público sin verificar exactamente qué datos pueden realmente devolver esas herramientas.
  • Una respuesta pública lenta o defensiva agrava la exposición. Sea cual sea el resultado legal de este caso, el escrutinio reputacional y regulatorio que sigue a una negación — en lugar de una respuesta pronta y transparente — tiende a ser peor que el incidente subyacente, especialmente una vez que la historia ya es pública.

¿Está Tu Negocio Preparado Si Algo Similar le Sucede?

  • Trata la pregunta “¿es esto una violación de seguridad?” como un asunto legal, no de relaciones públicas. Analiza cualquier exposición a través de las definiciones reales de la Ley 111 y la Ley 40 antes de decidir si necesitas notificar una agencia o tus clientes — no según cómo pudiera verse el incidente en un titular de noticias.
  • Verifica qué información devuelven tus herramientas de cara al público, no sólo lo que muestran por defecto (“default”). Una interfaz de búsqueda que “no muestra” datos sensitivos en sus resultados normales aún puede exponer esos datos a través de la estructura subyacente de solicitud, exactamente como se reportó aquí.
  • Sepa qué regulador tiene jurisdicción antes de que ocurra un incidente. Los negocios privados responden ante el DACO; las agencias gubernamentales y corporaciones públicas responden ante el Procurador del Ciudadano. Conocer el proceso de antemano evita perder tiempo averiguándolo durante un incidente activo.
  • Determina cómo la Ley 40 podría aplicarte. Si alguno de tus negocios maneja datos como parte de sus obligaciones bajo un contrato con el gobierno de Puerto Rico, necesitas saber cómo — y si — esta ley alcanza esa parte específica de tu trabajo.
  • Construye un árbol de decisiones de notificación con anticipación, para que responder a la pregunta “¿fue esto una violación de seguridad?” no se decida de forma reactiva, bajo escrutinio, por quien sea que esté atendiendo las llamadas de la prensa ese día.

En Resumen

Esta historia es un ejemplo en tiempo real de lo que ocurre cuando una entidad pública o privada adopta la posición de que una exposición no es una violación de seguridad legalmente significativa, en lugar de analizar la situación a través de las leyes y reglamentos potencialmente aplicables. La ley de Puerto Rico no deja la respuesta a la pregunta “¿fue esto una violación de seguridad?” únicamente a la discreción de la entidad que posee los datos — la Ley 111 la define, la Ley 40 añade obligaciones separadas para las agencias gubernamentales y sus contratistas, y ninguno de los dos marcos desaparece sólo porque un ejecutivo diga que no pasó nada.

Para cualquier negocio — no sólo agencias gubernamentales — la lección es la misma que en nuestra publicación anterior: conoce tus obligaciones, conoce tu regulador, y no dejes que la primera vez que pienses seriamente sobre éstos sea el día en que un periodista llame preguntando por qué un millón de números de Seguro Social eran descargables desde tu página web sin una contraseña.

Si quieres asegurarte de que tu negocio cumpla con las leyes de seguridad de datos y notificación de violaciones de seguridad de Puerto Rico y Estados Unidos, reserva una consulta con nosotros hoy. Te ayudaremos a construir un árbol de decisiones, términos contractuales con proveedores, y un plan de acción antes de que un incidente te obligue a crear y ejecutar uno bajo presión.

[2026-07-16]

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.