En resumen
La Ley 111-2005 obliga a toda entidad propietaria o custodia de un banco de información que incluya información personal de ciudadanos residentes en Puerto Rico a notificarles cualquier violación de la seguridad del sistema, cuando los bancos de datos violados contuvieran en todo o en parte su archivo de información personal y esa información no estuviera protegida con claves criptográficas más allá de una contraseña. La notificación a la clientela debe hacerse de la manera más expedita posible, tomando en consideración la necesidad de las agencias del orden público de asegurar posibles escenas de delito y pruebas, y de aplicar las medidas necesarias para restaurar la seguridad del sistema. Y hay dos relojes concretos: las partes responsables informarán dentro de un plazo improrrogable de diez (10) días de detectarse la violación al Departamento de Asuntos del Consumidor, y el Departamento hará anuncio público al respecto dentro de veinticuatro (24) horas de recibir la información. La notificación que te llegue tiene que entregarse de forma clara y conspicua, describir la violación en términos generales y el tipo de información sensitiva involucrada, e incluir un número de teléfono libre de cargos o un sitio en Internet que puedas usar para más información o asistencia.
¿Qué es?
Es la ley de notificación de brechas de datos de Puerto Rico. Define "violación de la seguridad del sistema" de forma ancha: cualquier situación en que se detecte que se ha permitido el acceso de personas o entidades no autorizadas a los archivos de datos, de modo que la seguridad, confidencialidad o integridad de la información quede en entredicho; o cuando ese acceso lo tengan personas o entidades normalmente autorizadas y se sepa o haya sospecha razonable de que han violado la confidencialidad profesional u obtuvieron su autorización bajo falsas representaciones con la intención de hacer uso ilegal de la información. Incluye tanto el acceso a través del sistema como el acceso físico a los medios de grabación que contienen los datos, y cualquier sustracción o movimiento indebido de esas grabaciones. O sea: no hace falta un "hackeo" para que la ley aplique.
¿Quién puede hacerlo?
Ciudadanos residentes en Puerto Rico cuyos datos estén en el banco de información violado. Lo que decide si estás cubierto es la definición de "archivo de información personal": un expediente que contenga al menos tu nombre o primera inicial y tu apellido paterno, combinado con cualquiera de estos datos de manera que se puedan asociar unos con otros, y en el que la información sea legible sin necesidad de una clave criptográfica especial: número de Seguro Social; número de licencia de conducir, tarjeta electoral u otra identificación oficial; números de cuentas bancarias o financieras de cualquier tipo, con o sin sus claves de acceso; nombres de usuario y claves de acceso a sistemas informáticos públicos o privados; información médica protegida por HIPAA; información contributiva; y evaluaciones laborales. Lo que la ley excluye expresamente de la información protegida: la dirección postal o residencial, y cualquier información que sea documento público y esté disponible para la ciudadanía en general.
Requisitos
- Que los datos violados formen, en todo o en parte, un archivo de información personal según lo define la ley.Verificado con la fuente oficial
- Que esa información no estuviera protegida con claves criptográficas más allá de una contraseña.Verificado con la fuente oficial
Documentos necesarios
Costo
Cómo hacerlo paso a paso
Paso 1: Comprueba si tus datos caen en la definición
La ley no protege cualquier dato. Protege el expediente que combina tu nombre —o primera inicial— y tu apellido paterno con al menos uno de siete tipos de dato: Seguro Social; licencia de conducir, tarjeta electoral u otra identificación oficial; cuentas bancarias o financieras; nombres de usuario y claves de acceso; información médica protegida por HIPAA; información contributiva; y evaluaciones laborales. Si lo único que se filtró fue tu dirección, la ley dice expresamente que la dirección postal o residencial no está dentro de la información protegida.
Paso 2: Sabe qué tiene que decir la notificación
El Artículo 4 fija el contenido mínimo: la notificación será entregada de forma clara y conspicua, describirá la violación de seguridad en términos generales y el tipo de información sensitiva involucrada, e incluirá un número de teléfono libre de cargos o un sitio en la red de Internet que puedas usar para más información o asistencia. Una notificación que no diga qué tipo de información se afectó, o que no te dé una vía de contacto, está incompleta según el texto.
Paso 3: Entiende por qué a veces te enteras por la prensa
La ley le da a la entidad dos caminos. El primero es la notificación escrita directa a los afectados, por vía postal o por vía electrónica autenticada de acuerdo con la Ley de Firmas Digitales. El segundo aplica cuando el costo de notificar o de identificar a todos sea excesivamente oneroso por la cantidad de personas, por la dificultad de localizarlas o por la situación económica de la entidad; o siempre que el costo exceda los cien mil ($100,000) dólares o el número de personas exceda las cien mil. En ese caso la entidad tiene que hacer dos cosas: desplegar de forma prominente un anuncio en su local, en su página electrónica si la tiene, y dentro de cualquier volante informativo que publique y envíe por listas de correo postales y electrónicas; y comunicarlo a los medios de prensa, informando de la situación y de cómo comunicarse con la entidad para darle seguimiento.
Paso 4: Cuenta los diez días y las veinticuatro horas
Son los dos plazos medibles de esta ley. Las partes responsables informarán dentro de un plazo improrrogable de diez (10) días de detectarse la violación de la seguridad del sistema al Departamento de Asuntos del Consumidor. Y el Departamento hará anuncio público al respecto dentro de veinticuatro (24) horas de recibir la información. Fíjate en la palabra improrrogable: no admite extensión. Si supiste de una brecha mucho antes de que hubiera anuncio, esos son los plazos que hay que citar al reclamar.
Paso 5: Si la brecha fue en el gobierno, el foro es otro
El Artículo 7 lo separa: en aquellos casos en que la violación o irregularidad en los sistemas de seguridad de los bancos de datos ocurra en una agencia de gobierno o corporación pública, esta será notificada a la Oficina del Procurador del Ciudadano, quien asumirá jurisdicción, y para eso el Procurador del Ciudadano designará un Procurador Especializado que atenderá este tipo de caso. La ley le ordenó además crear dentro de su Oficina el cargo de Procurador Especializado de Sistemas de Seguridad de Bancos de Datos del Gobierno. No enlazamos esa oficina porque no pudimos cargar un host que funcionara: búscala por su nombre completo antes de asumir una dirección.
Paso 6: Sabe qué te queda además de la multa
El Secretario podrá imponer multas desde quinientos ($500) dólares hasta un máximo de cinco mil ($5,000) dólares por cada violación a las disposiciones de esta ley o de su reglamento. Y la ley cierra con algo que conviene leer despacio: las multas dispuestas en ese artículo no afectan los derechos de los consumidores de iniciar acciones o reclamaciones en daños ante un tribunal competente. Es decir, que el DACO multe a la empresa no consume tu reclamación por los daños que la filtración te haya causado.
Dónde hacerlo
El Departamento de Asuntos del Consumidor es la agencia que la ley designa: recibe el informe de la entidad dentro de los diez días, hace el anuncio público dentro de las veinticuatro horas siguientes, y es quien impone las multas. La ley le ordenó además diseñar y proclamar un reglamento para el cumplimiento de sus disposiciones. Si la brecha ocurrió en una agencia de gobierno o corporación pública, la jurisdicción es de la Oficina del Procurador del Ciudadano a través de un Procurador Especializado. Y la vía de daños ante un tribunal competente queda abierta en cualquier caso.
Cuánto tarda
La entidad tiene un plazo improrrogable de 10 días desde que detecta la violación para informarle al DACO, y el DACO hará anuncio público dentro de 24 horas de recibir esa información. La notificación a las personas afectadas va "de la manera más expedita posible".
Verificado con la fuente oficial · 23 de agosto de 2026
Qué hacer si hay un problema
Quién está obligado, porque la definición de "entidad" es de las más anchas que hay: toda agencia, junta, cuerpo, tribunal examinador, corporación, corporación pública, comisión, oficina independiente, división, administración, negociado, departamento, autoridad, funcionario, instrumentalidad u organismo administrativo de las tres ramas de gobierno; toda corporación, sociedad, asociación, compañía u organización privada autorizada a realizar negocios u operar en Puerto Rico; y toda institución educativa pública y privada, sin importar el nivel de educación que ofrezca. La escuela de tus hijos entra. Hay una obligación en cadena que casi nadie menciona: toda entidad que dentro de sus funciones revenda o provea acceso a bancos de información digitales que contengan archivos de información personal deberá notificar al propietario, custodio o tenedor de esa información de cualquier violación que haya permitido el acceso de personas no autorizadas. Y una salvedad que la ley pone a favor de las políticas más estrictas: ninguna disposición de esta ley se interpretará en perjuicio de aquellas políticas institucionales de información y seguridad que una empresa o entidad tuviera en vigor antes de su vigencia y cuyo efecto sea una protección equivalente o superior. Lo que no publicamos: el reglamento que el DACO tenía ciento veinte días para proclamar, ni el del Procurador del Ciudadano, porque no los leímos. Y una limitación de fondo: esta ley obliga a avisar, no a compensar. Si lo que te pasó fue un uso fraudulento de tu identidad después de la filtración, eso es otra pelea, y la propia ley te deja abierta la acción de daños ante el tribunal.
Errores comunes
- Asumir que cualquier filtración cuenta: la ley protege tu nombre combinado con uno de siete tipos de dato, y excluye la dirección postal o residencial.
- No fijarse en la excepción de cifrado: el deber de notificar surge cuando la información no estaba protegida con claves criptográficas más allá de una contraseña.
- Aceptar una notificación que no diga qué tipo de información sensitiva se afectó.
- Aceptar una notificación sin teléfono libre de cargos ni sitio de Internet para más información o asistencia.
- Creer que la ley solo cubre "hackeos": también cubre el acceso físico a los medios de grabación y la sustracción indebida.
- Pensar que las escuelas quedan fuera: la definición de entidad incluye toda institución educativa, pública y privada.
- Llevar al DACO una brecha ocurrida en una agencia de gobierno, cuando esa jurisdicción es del Procurador del Ciudadano.
- Creer que la multa del DACO sustituye tu reclamación: la ley dice expresamente que no afecta tu derecho a reclamar daños en el tribunal.
Preguntas frecuentes
¿Tienen que avisarme si filtran mis datos?
Sí, si los datos violados contenían en todo o en parte tu archivo de información personal y esa información no estaba protegida con claves criptográficas más allá de una contraseña. La notificación debe hacerse de la manera más expedita posible, considerando la necesidad de las agencias del orden público de asegurar escenas de delito y pruebas y de restaurar la seguridad del sistema.
¿Cuánto tiempo tienen?
Para informarle al Departamento de Asuntos del Consumidor, un plazo improrrogable de diez (10) días desde que se detecta la violación. El Departamento hará anuncio público dentro de veinticuatro (24) horas de recibir esa información. Para notificarte a ti, la ley no fija un número de días: dice "de la manera más expedita posible".
¿Qué datos están protegidos?
Tu nombre o primera inicial y apellido paterno combinado con: Seguro Social; licencia de conducir, tarjeta electoral u otra identificación oficial; cuentas bancarias o financieras de cualquier tipo, con o sin claves; nombres de usuario y claves de acceso a sistemas informáticos; información médica protegida por HIPAA; información contributiva; o evaluaciones laborales. No incluye la dirección postal o residencial ni información que sea documento público disponible al público en general.
¿Pueden avisar por la prensa en vez de por carta?
Solo bajo condiciones. Cuando el costo de notificar o identificar a todos sea excesivamente oneroso, o siempre que el costo exceda los cien mil dólares o el número de personas exceda las cien mil, la entidad puede notificar mediante dos pasos combinados: un anuncio prominente en su local, en su página electrónica y en sus volantes y listas de correo; y una comunicación a los medios de prensa explicando la situación y cómo darle seguimiento.
¿Qué multa hay?
Desde quinientos ($500) hasta un máximo de cinco mil ($5,000) dólares por cada violación a la ley o a su reglamento, impuesta por el Secretario. Esas multas no afectan tu derecho como consumidor a iniciar acciones o reclamaciones en daños ante un tribunal competente.
Fuentes oficiales
Estas son las páginas del gobierno en las que se basa esta guía.
- Departamento de Asuntos del Consumidor (DACO)
DACO
bvirtualogp.pr.gov
- Servicios del DACO
DACO
www.daco.pr.gov
Última verificación
23 de agosto de 2026
MiPRFácil es un sitio informativo independiente y no está afiliado, respaldado ni operado por el Gobierno de Puerto Rico ni por ninguna agencia gubernamental.
MiPRFácil no tramita ni radica solicitudes por ti.
¿Esta guía te ayudó?
¿Encontraste información desactualizada?
Congelación de crédito por seguridad: cómo cerrarle la puerta al fraude
La Ley 236-2015 te deja congelar tu informe de crédito para que nadie abra cuentas a tu nombre. Los plazos, el PIN y quién no paga nada.
Telemercadeo: las horas, el consentimiento y el prueba gratis
No pueden llamarte a una residencia fuera de 9:00 a.m. a 9:00 p.m., ni llamarte o escribirte sin tu consentimiento previo. Y tu silencio no es un sí.
Cómo radicar una querella de consumidor en DACO
Tres vías: en línea, en papel en una oficina regional, o por teléfono al 787-722-7555. Y no hay un solo formulario.
Pedirle un documento al gobierno: la Ley de Transparencia
Cualquier persona puede pedirla sin explicar para qué. 20 días laborables, 30 si es vieja o voluminosa, y el silencio es una denegación que abre el tribunal.
Querella contra un banco, hipotecaria o prestamista
La OCIF atiende querellas contra instituciones financieras de Puerto Rico, pero no contra bancos «N.A.», cooperativas ni bancos de otros estados. Aquí está la línea.