California
Leyes de Notificación de Violación de Datos en California: Reglas de Reporte y Plazos (2026)
Verificado de forma independiente contra fuentes primarias (última auditoría: 14 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 14 de agosto de 2026. · 8 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
Conforme al Cal. Civ. Code 1798.82, California exige que las empresas notifiquen a los residentes afectados dentro de los 30 días calendario posteriores al descubrimiento de una violación de datos. Cuando una violación afecta a más de 500 residentes, las empresas también deben notificar a la Fiscalía General de California dentro de los 15 días calendario posteriores al envío de los avisos a los consumidores.
La ley de notificación de violación de datos de California es la original. Cuando un pirata informático robó información personal de 265,000 empleados estatales en 2002, California respondió aprobando la SB 1386, la primera ley del país que exige a las empresas informar a los consumidores cuando sus datos han sido comprometidos. Con el tiempo, todos los demás estados siguieron el ejemplo de California.
Más de dos décadas después, California sigue marcando la pauta. La SB 446, firmada por el Gobernador el 3 de octubre de 2025 y vigente desde el 1 de enero de 2026, agregó lo único que le faltaba a la ley original: un plazo fijo. Las empresas ahora tienen exactamente 30 días calendario para notificar a los californianos afectados después de descubrir una violación. Para un análisis más profundo de todas las protecciones de privacidad de California, consulte nuestra guía general de Leyes de Privacidad de Datos de California.
Quién Debe Cumplir
La ley de notificación de violaciones de California se aplica a dos grupos bajo estatutos separados pero paralelos.
El Cal. Civ. Code 1798.82 cubre a cualquier persona o empresa que realice negocios en California y sea propietaria o tenga licencia de datos computarizados que contengan información personal. No es necesario tener sede en California. Si usted posee datos personales pertenecientes a residentes de California, la ley se aplica a usted.
El Cal. Civ. Code 1798.29 impone requisitos similares a las agencias gubernamentales estatales y locales.
La SB 446 enmendó únicamente el Cal. Civ. Code 1798.82, el estatuto que cubre a las empresas. El Cal. Civ. Code 1798.29 no fue enmendado por la SB 446 y sigue regido por el estándar preexistente: las agencias gubernamentales deben notificar a los residentes afectados "en el tiempo más expedito posible y sin demora injustificada", sin un plazo numérico específico, y el estatuto no establece un plazo específico para enviar la copia de muestra a la Fiscalía General cuando se ven afectados más de 500 residentes.
Qué Activa una Notificación
Se requiere notificación cuando información personal no cifrada ha sido "adquirida, o razonablemente se cree que fue adquirida, por una persona no autorizada". La Sección 1798.82(g) define la propia violación como la "adquisición no autorizada de datos computarizados" que compromete la seguridad, confidencialidad o integridad de la información personal, por lo que el mero acceso o visualización no autorizados no es automáticamente suficiente. Lo que California no exige es demostrar ningún daño. Una vez que se cumple el estándar de adquisición, la notificación es obligatoria, sin importar si algún consumidor puede demostrar un perjuicio real.
Esto distingue a California de aproximadamente otros 30 estados que exigen un análisis de riesgo de daño antes de que se active la notificación.
Qué Se Considera Información Personal
California define la información personal de manera amplia bajo la Sección 1798.82(h). La ley cubre dos categorías.
Categoría 1: Nombre Más un Elemento de Datos
El nombre o la inicial del nombre y el apellido de una persona combinados con cualquiera de los siguientes:
- Número de Seguro Social
- Número de licencia de conducir o de identificación de California
- Número de cuenta financiera, número de tarjeta de crédito o de débito (combinado con cualquier código de seguridad, código de acceso o contraseña requeridos)
- Información médica
- Información de seguro de salud
- Datos biométricos únicos generados a partir de mediciones de características corporales humanas (huellas dactilares, imágenes de retina, escaneos de iris) utilizados para autenticar la identidad
- Información recopilada mediante un sistema automatizado de reconocimiento de placas
- Número de identificación fiscal
- Número de pasaporte
- Número de identificación militar
- Número de identificación único emitido en un documento gubernamental utilizado para verificar la identidad
- Datos genéticos
Categoría 2: Credenciales de Cuentas en Línea
Un nombre de usuario o dirección de correo electrónico combinado con una contraseña o una pregunta de seguridad y su respuesta que permitiría el acceso a una cuenta en línea.
El estatuto excluye específicamente la información disponible públicamente obtenida legalmente de registros gubernamentales.
El Plazo de 30 Días para la Notificación de Violación de Datos
Antes de la SB 446, California exigía la notificación "en el tiempo más expedito posible y sin demora injustificada". Ese estándar vago permitía que algunas empresas esperaran meses, o incluso más de un año, antes de informar a los consumidores afectados.
A partir del 1 de enero de 2026, la ley ahora exige la notificación dentro de 30 días calendario posteriores al descubrimiento de la violación o a ser notificado de esta.
Dos Excepciones a la Regla de 30 Días
El plazo puede extenderse en dos situaciones:
- Retraso por aplicación de la ley. Si una agencia de aplicación de la ley determina que la notificación impediría una investigación criminal, la empresa puede retrasar la notificación hasta que la agencia indique lo contrario.
- Evaluación de alcance e integridad. Una empresa puede tomar tiempo adicional "según sea necesario para determinar el alcance de la violación y restaurar la integridad razonable del sistema de datos".
Estas excepciones existían bajo la ley anterior y se mantienen en el nuevo plazo. Sin embargo, las empresas deben esperar que la Fiscalía General examine con mayor rigor las alegaciones de plazos de investigación extendidos, ahora que existe un plazo fijo.
Notificación a la Fiscalía General
Cuando una violación afecta a más de 500 residentes de California, la empresa debe enviar electrónicamente una copia de muestra de la notificación de la violación a la Fiscalía General de California. Esta muestra debe excluir información de identificación personal.
La SB 446 agregó un plazo específico: 15 días calendario después de notificar a los consumidores afectados. Anteriormente, no existía un plazo específico para la notificación a la Fiscalía General.
La Fiscalía General mantiene una base de datos consultable de notificaciones de violaciones de acceso público. Este reporte público genera responsabilidad adicional y consecuencias reputacionales para las organizaciones que sufren violaciones.
Contenido Requerido de los Avisos de Violación
California establece el formato y contenido de las cartas de notificación de violación con mayor especificidad que la mayoría de los estados. Los avisos deben redactarse en lenguaje claro, con un tamaño de letra de al menos 10 puntos, y titularse "Aviso de Violación de Datos". El aviso debe presentar la información bajo los siguientes encabezados obligatorios:
- Qué Sucedió (descripción del incidente de violación y fechas)
- Qué Información Estuvo Involucrada (tipos de información personal comprometida)
- Qué Estamos Haciendo (medidas que la organización está tomando en respuesta)
- Qué Puede Hacer Usted (acciones que el consumidor puede tomar para protegerse)
- Para Más Información (datos de contacto de la entidad notificante)
Los requisitos de contenido adicionales incluyen:
- Números de teléfono gratuitos y direcciones de las principales agencias de reporte crediticio (cuando se involucran números de Seguro Social o de licencia de conducir)
- Si la entidad fue el origen de la violación y la violación expuso o pudo haber expuesto un número de Seguro Social o un número de licencia de conducir o de identificación de California, una oferta de servicios apropiados de prevención y mitigación de robo de identidad, si se ofrece alguno, sin costo durante al menos 12 meses, junto con la información necesaria para acceder a la oferta (Cal. Civ. Code 1798.82(d)(2)(G))
- El nombre y la información de contacto de la entidad que proporciona el aviso
Métodos de Notificación
Las organizaciones pueden notificar a las personas afectadas mediante:
- Aviso escrito enviado a la última dirección postal conocida
- Aviso electrónico conforme a la ley federal E-SIGN Act
Aviso Sustitutivo
Si el costo de la notificación directa excede los $250,000, el grupo afectado supera las 500,000 personas, o la organización no cuenta con suficiente información de contacto, se permite el aviso sustitutivo. El aviso sustitutivo requiere los tres elementos siguientes:
- Aviso por correo electrónico a las personas afectadas de quienes la organización tiene una dirección
- Publicación visible en el sitio web de la organización durante un mínimo de 30 días
- Notificación a los principales medios de comunicación estatales
Puerto Seguro de Cifrado
California ofrece un puerto seguro para los datos cifrados. No se requiere notificación si la información personal vulnerada estaba cifrada mediante una metodología de cifrado "generalmente aceptada", a menos que la clave de cifrado o la credencial de seguridad también haya sido adquirida y pudiera hacer que los datos sean legibles o utilizables.
Este puerto seguro ofrece a las organizaciones un incentivo concreto para cifrar la información personal tanto en reposo como en tránsito. Si el cifrado se implementa correctamente y las claves se gestionan por separado, una violación de los datos cifrados por sí sola no activa la notificación.
Aplicación y Sanciones
California no incluye una disposición de sanción específica en el propio estatuto de notificación de violaciones. En cambio, la aplicación proviene de múltiples frentes.
Aplicación por la Fiscalía General
La Fiscalía General de California puede presentar acciones civiles por violaciones a la ley de notificación de violaciones bajo los estatutos estatales de prácticas comerciales desleales. La Fiscalía General ha sido activa en esta área. Las acciones de aplicación destacadas incluyen un acuerdo de $6.75 millones con Blackbaud en 2024. Blackbaud, un proveedor de software de gestión de datos con sede en Carolina del Sur para organizaciones sin fines de lucro, sufrió una violación en 2020 que expuso nombres, números de Seguro Social, información de cuentas bancarias e información médica de los consumidores. El acuerdo abordó las notificaciones de violación tardías e inexactas de Blackbaud, después de que inicialmente informara a sus clientes que no se había accedido a datos personales.
Derecho de Acción Privada de la CCPA (Cal. Civ. Code 1798.150)
El mecanismo de aplicación más significativo proviene de la Ley de Privacidad del Consumidor de California (CCPA). La Sección 1798.150 otorga a los consumidores individuales el derecho de demandar cuando su información personal no cifrada o no redactada queda expuesta en una violación resultante de que una empresa "no implementó ni mantuvo procedimientos y prácticas de seguridad razonables".
Los consumidores pueden recuperar:
- Daños estatutarios de $107 a $799 por consumidor por incidente
- Daños reales si superan el monto estatutario
- Recursos de mandato judicial o declaratorio
- Cualquier otro recurso que el tribunal considere apropiado
El rango original de la ley, $100 a $750, se ajusta por inflación cada año impar bajo la autoridad de la Agencia de Protección de la Privacidad de California conforme al Cal. Civ. Code 1798.199.95(d). Las cifras de $107 a $799 indicadas arriba reflejan el ajuste vigente desde el 1 de enero de 2025.
Antes de presentar una demanda por daños estatutarios, los consumidores deben proporcionar a la empresa un aviso escrito de 30 días. Si la empresa subsana la violación dentro de ese plazo y proporciona confirmación por escrito, los daños estatutarios quedan prohibidos. Sin embargo, las reclamaciones por daños reales no requieren aviso previo.
Estos daños estatutarios se acumulan rápidamente en litigios de acción colectiva. Una violación que afecte a 100,000 consumidores podría exponer a una empresa a entre $10.7 millones y $79.9 millones solo en daños estatutarios. Desde que la CCPA entró en vigor en 2020, las demandas colectivas por violación de datos en California han aumentado sustancialmente.
Recursos Generales de Notificación de Violación
Independientemente de la CCPA, el Cal. Civ. Code 1798.84(b) establece que cualquier cliente perjudicado por una violación de la ley de registros de clientes de California, la cual incluye los requisitos de notificación de violaciones de la Sección 1798.82, puede presentar una acción civil para recuperar daños.
Cómo Se Compara California con Otros Estados
La ley de notificación de violaciones de California se destaca de varias maneras:
| Característica | California | Muchos Otros Estados |
|---|---|---|
| Promulgada por primera vez | 2002 (primera en el país) | 2003 a 2018 |
| Plazo de notificación | 30 días (a partir del 1 de enero de 2026) | Varía de 30 a 90 días; algunos no tienen plazo |
| Umbral de daño | No se requiere | Aproximadamente 30 estados exigen demostrar riesgo de daño |
| Derecho de acción privada | Sí, mediante CCPA 1798.150 | La mayoría de los estados carecen de derecho de acción privada por violaciones |
| Daños estatutarios | $107 a $799 por consumidor | Pocos estados prevén daños estatutarios |
| Formato de contenido del aviso | Encabezados y formato prescritos | Muchos estados tienen reglas de contenido mínimas |
| Servicios de robo de identidad | Gratuitos durante al menos 12 meses cuando la violación expuso un número de Seguro Social o de licencia de conducir | No se exige universalmente |
| Plazo de reporte a la Fiscalía General | 15 días después del aviso al consumidor | Varía ampliamente |
La combinación de la ausencia de un umbral de daño, un derecho de acción privada con daños estatutarios y un contenido de aviso prescrito hace que la ley de California sea una de las más protectoras del país. Para las empresas, esto también significa que las violaciones en California conllevan una mayor exposición legal y financiera que las violaciones bajo la mayoría de las demás leyes estatales.
Pasos Prácticos para el Cumplimiento
Las organizaciones que manejan información personal de residentes de California deben tomar varias medidas para prepararse para el plazo de 30 días bajo la SB 446:
Elabore un plan de respuesta a incidentes. Treinta días transcurren rápido si se considera la investigación forense, la revisión legal y la redacción de avisos. Las organizaciones deben tener un plan de respuesta a violaciones listo antes de que ocurra una.
Cifre la información personal. El puerto seguro de cifrado ofrece una defensa significativa. Implemente cifrado generalmente aceptado para los datos personales en reposo y en tránsito, y almacene las claves de cifrado por separado.
Mantenga medidas de seguridad razonables. El derecho de acción privada de la CCPA se aplica solo cuando una violación resulta de no mantener medidas de seguridad razonables. Documentar sus prácticas de seguridad puede marcar la diferencia entre enfrentar o evitar una demanda colectiva.
Prepare plantillas de avisos. El formato de aviso prescrito por California permite redactar plantillas de avisos con anticipación. Tener plantillas listas ahorra tiempo valioso durante el plazo de 30 días.
Conozca sus obligaciones de reporte a la Fiscalía General. Si su organización atiende a más de 500 residentes de California, incorpore el plazo de 15 días de reporte a la Fiscalía General en su cronograma de respuesta desde el primer día.
Para conocer las protecciones relacionadas que cubren los datos biométricos en California, consulte nuestra guía sobre las leyes de privacidad biométrica de California.
Más Leyes de California
- Leyes de Grabación de Reuniones con IA de California
- Leyes de Pensión Alimenticia de California
- Leyes de Empleo a Voluntad de California
- Leyes de Accidentes Automovilísticos de California
- Leyes de Asientos de Seguridad para Niños de California
- Leyes de Custodia de Menores de California
- Leyes de Manutención Infantil de California
- Leyes de Matrimonio de Hecho de California
- Leyes de Deepfake de California
- Leyes de Divorcio de California
- Leyes de Mordedura de Perro de California
- Leyes de Emancipación de California
- Leyes de Eliminación de Antecedentes de California
- Leyes de Choque y Fuga de California
- Leyes de Propietario e Inquilino de California
- Leyes del Limón de California
Fuentes y Referencias
Este artículo hace referencia a estatutos de California y publicaciones oficiales del gobierno. Para el texto completo de la ley de notificación de violaciones, visite Cal. Civ. Code 1798.82 y Cal. Civ. Code 1798.29 en el sitio web de Información Legislativa de California. Para el texto y el historial del proyecto de ley SB 446, consulte SB-446 Data breaches: customer notification. Para los requisitos de reporte de violaciones de la Fiscalía General, visite la página OAG Data Security Breach Reporting. Para el derecho de acción privada de la CCPA, consulte Cal. Civ. Code 1798.150.
Este artículo proporciona información legal general sobre los requisitos de notificación de violaciones de datos en California. No constituye asesoría legal. Consulte a un abogado calificado para obtener orientación sobre su situación específica. Las leyes y regulaciones cambian con frecuencia. Verifique los requisitos vigentes a través de fuentes oficiales del gobierno de California.
Preguntas frecuentes
¿Cuándo entra en vigor el plazo de 30 días para la notificación de violaciones de datos en California?
La SB 446 (Stats. 2025, Cap. 319) fue firmada por el Gobernador el 3 de octubre de 2025 y entra en vigor el 1 de enero de 2026. A partir de esa fecha, las empresas deben notificar a los residentes afectados de California dentro de los 30 días calendario posteriores al descubrimiento de una violación de datos o a ser notificadas de esta. El estándar anterior exigía la notificación en el tiempo más expedito posible sin demora injustificada, pero no establecía un plazo específico.
¿Toda violación de datos en California requiere notificación?
No toda violación activa la notificación. La ley se aplica únicamente cuando información personal no cifrada (según se define en Cal. Civ. Code 1798.82(h)) es adquirida, o se cree razonablemente que fue adquirida, por una persona no autorizada. Si los datos vulnerados estaban cifrados mediante una metodología generalmente aceptada y la clave de cifrado no fue también comprometida, no se requiere notificación. Sin embargo, California no exige demostrar ningún daño. Si información personal no cifrada fue adquirida, o se cree razonablemente que fue adquirida, por una persona no autorizada, la notificación es obligatoria, independientemente de si se produjo un daño real.
¿Pueden los consumidores demandar a las empresas por violaciones de datos en California?
Sí. Bajo la CCPA (Cal. Civ. Code 1798.150), los consumidores pueden presentar una demanda privada cuando una violación de datos resulta de que una empresa no implementó ni mantuvo procedimientos de seguridad razonables. Los daños estatutarios van de $107 a $799 por consumidor por incidente (cifra ajustada por IPC vigente desde el 1 de enero de 2025), o los consumidores pueden recuperar daños reales si son mayores. Antes de presentar una demanda por daños estatutarios, los consumidores deben dar a la empresa un aviso escrito de 30 días. Este derecho de acción privada ha dado lugar a un litigio significativo de demandas colectivas en California desde que la CCPA entró en vigor en 2020.
¿Qué debe incluir una carta de notificación de violación de datos en California?
California establece tanto el formato como el contenido de los avisos de violación. El aviso debe titularse Aviso de Violación de Datos, redactarse en lenguaje claro con un tamaño de letra de al menos 10 puntos, y organizarse bajo cinco encabezados específicos: Qué Sucedió, Qué Información Estuvo Involucrada, Qué Estamos Haciendo, Qué Puede Hacer Usted, y Para Más Información. Cuando se involucran números de Seguro Social o de licencia de conducir, el aviso debe incluir información de contacto de las agencias de reporte crediticio. Si la entidad notificante fue el origen de la violación y esta expuso o pudo haber expuesto un número de Seguro Social o un número de licencia de conducir o de identificación de California, los servicios apropiados de prevención y mitigación de robo de identidad que ofrezca deben proporcionarse sin costo durante al menos 12 meses.
¿Cuándo debe una empresa notificar a la Fiscalía General de California sobre una violación?
Las empresas deben notificar a la Fiscalía General de California cuando una violación afecta a más de 500 residentes de California. Bajo la SB 446, la Fiscalía General debe recibir una copia de muestra electrónica de la notificación de la violación dentro de los 15 días calendario posteriores a la notificación a los consumidores afectados. La muestra debe excluir información de identificación personal. La Fiscalía General publica todas las violaciones reportadas en una base de datos pública consultable en oag.ca.gov.
¿Afectado por una filtración de datos o una violación de privacidad biométrica?
Si sus datos personales quedaron expuestos en una filtración, o si su huella dactilar o escaneo facial se recopiló sin su consentimiento, podría ser elegible para unirse a un reclamo por compensación. Averígüelo gratis y sin compromiso.
Actualizaciones
Se corrigió el detonante de la notificación (adquisición no autorizada, no simple acceso), se aclaró que la oferta gratuita de servicios de robo de identidad de 12 meses aplica solo cuando se expuso un número de Seguro Social o de licencia de conducir, se citó el Cal. Civ. Code 1798.84(b) para el recurso de daños reales, y se eliminó una estadística de acuerdos sin fuente.
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en las disposiciones legales a continuación, conservadas en nuestro propio registro jurídico y obtenidas de la fuente oficial. Toque una sección para leer el texto vigente.
California Civil Code
§ 1798.82Vigentecitada en 3 de nuestros artículos
(a) (1) An individual or business that conducts business in California, and that owns or licenses computerized data that includes personal information, shall disclose a breach of the security of the system following discovery or notification of the breach in the security of the data to a resident of California whose unencrypted personal information was, or is reasonably believed to have been, acquired by an unauthorized person, or whose encrypted personal information was, or is reasonably believed to have been, acquired by an unauthorized person and the encryption key or security credential was, or is reasonably believed to have been, acquired by an unauthorized person, and the person or business that owns or licenses the encrypted information has a reasonable belief that the encryption key or security credential could render that personal information readable or usable. (2) (A) Subject to subparagraph (B), the disclosure required by this subdivision shall be made within 30 calendar days of discovery or notification of the data breach.
Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en leginfo.legislature.ca.gov
Citada en 39 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2026
En los tribunales (resumen editorial, verificado de forma independiente):El deber de aviso se hace cumplir por la vía de la competencia desleal. En People v. Experian Data Corp. (2024), un caso de primera impresión, el Court of Appeal sostuvo que el fiscal municipal de San Diego puede invocar la regla de descubrimiento para retrasar el inicio del plazo de una demanda cuya infracción base fue que Experian no dio el aviso que exige la Section 1798.82(a).
Resoluciones que citan esta sección en nuestra colección:
- People v. Experian Data Corp. (California Court of Appeal 2024)✓El fiscal municipal de San Diego demandó a Experian bajo la ley de competencia desleal por no notificar con prontitud a los consumidores una filtración de datos, como exige la Sección 1798.82; el tribunal sostuvo que la regla de descubrimiento puede retrasar el inicio del plazo y revocó el fallo.
- Bank of America Corp. v. Superior Court (California Court of Appeal 2011, 198 Cal. App. 4th 862)“…ssue notice of default) (6th cause of action); violation of Civil Code section 1798.82 (requiring disclosure to consumer of da…”
- Eisenhower Medical Center v. Superior Court (California Court of Appeal 2014, 226 Cal. App. 4th 430)“…of action for violation of the Customer Records Act (CRA) (Civ.Code, § 1798.82), which requires notification to consum…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 1798.29Vigentecitada en 2 de nuestros artículos
(a) Any agency that owns or licenses computerized data that includes personal information shall disclose any breach of the security of the system following discovery or notification of the breach in the security of the data to any resident of California (1) whose unencrypted personal information was, or is reasonably believed to have been, acquired by an unauthorized person, or, (2) whose encrypted personal information was, or is reasonably believed to have been, acquired by an unauthorized person and the encryption key or security credential was, or is reasonably believed to have been, acquired by an unauthorized person and the agency that owns or licenses the encrypted information has a reasonable belief that the encryption key or security credential could render that personal information readable or usable. The disclosure shall be made in the most expedient time possible and without unreasonable delay, consistent with the legitimate needs of law enforcement, as provided in subdivision (c), or any measures necessary to determine the scope of the breach and restore the reasonable integrity of the data system.
Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en leginfo.legislature.ca.gov
Citada en 4 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2024
Resoluciones que citan esta sección en nuestra colección:
- Beeman v. Anthem Prescription Management, LLC (California Supreme Court 2013, 58 Cal. 4th 329)“…usiness maintaining computerized personal information data (Civ. Code, §§ 1798.29, 1798.82), or the nature and investment…”
- Sifuentes v. X Corp. (District Court, N.D. California 2024)“…4 (9) Violations of California Civil Code sections 1798.29 and 1798.82, (id. at ¶¶ 90-97), 5…”
- Damner v. Facebook Incorporated (District Court, N.D. California 2020)“…enant of good faith and 8 fair dealing; (7) violation of Cal. Civ. Code § 1798.29; and (8) fraudulent and negligent 9…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 1798.150Vigentecitada en 5 de nuestros artículos
Personal Information Security Breaches (a) (1) Any consumer whose nonencrypted and nonredacted personal information, as defined in subparagraph (A) of paragraph (1) of subdivision (d) of Section 1798.81.5, or whose email address in combination with a password or security question and answer that would permit access to the account is subject to an unauthorized access and exfiltration, theft, or disclosure as a result of the business’ violation of the duty to implement and maintain reasonable security procedures and practices appropriate to the nature of the information to protect the personal information may institute a civil action for any of the following: (A) To recover damages in an amount not less than one hundred dollars ($100) and not greater than seven hundred and fifty ($750) per consumer per incident or actual damages, whichever is greater. The amounts in this subdivision shall be adjusted pursuant to subdivision (d) of Section 1798.199.95. (B) Injunctive or declaratory relief. (C) Any other relief the court deems proper.
Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en leginfo.legislature.ca.gov
Citada en 41 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2025
Resoluciones que citan esta sección en nuestra colección:
- Jarman v. HCR ManorCare, Inc. (California Supreme Court 2020, 267 Cal. Rptr. 3d 696)“…of the harm, as it has done in other contexts. (See, e.g., Civ. Code, § 1798.150, subd. (a)(2).) These deficiencie…”
- Untitled California Attorney General Opinion (California Attorney General Reports 2022)“…ubd. (c). 48 Civ. Code, § 1798.155, subd. (b). 49 Civ. Code, § 1798.150. 50 Initiative Measure (Prop. 24)…”
- Hajny v. Volkswagen Group of America CA1/1 (California Court of Appeal 2024)“…750 without having to prove causation and actual damages. (Civ. Code, § 1798.150, subd. (a)(1)(A).) No other state provi…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
Fuentes y referencias
- Cal. Civ. Code 1798.82 - Notificación de violación para empresas(leginfo.legislature.ca.gov).gov
- Cal. Civ. Code 1798.29 - Notificación de violación para agencias gubernamentales(leginfo.legislature.ca.gov).gov
- SB 446 - Violaciones de datos: notificación al cliente (2025)(leginfo.legislature.ca.gov).gov
- SB 1386 - Ley original de notificación de violaciones (2002)(leginfo.legislature.ca.gov).gov
- Cal. Civ. Code 1798.150 - Derecho de acción privada de la CCPA(leginfo.legislature.ca.gov).gov
- Reporte de Violaciones de Seguridad de Datos de la OAG(oag.ca.gov).gov
- Base de Datos Consultable de Violaciones de la OAG(oag.ca.gov).gov
- Acuerdo de $6.75M con Blackbaud(oag.ca.gov).gov
- Cal. Civ. Code 1798.84 - Recursos civiles por violaciones a la ley de registros de clientes(leginfo.legislature.ca.gov)