Colorado
Leyes de Notificación de Violación de Datos en Colorado: Reglas y Plazos de Notificación (2026)
Verificado de forma independiente contra fuentes primarias (última auditoría: 14 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 14 de agosto de 2026. · 10 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
Bajo C.R.S. 6-1-716, Colorado exige que las empresas notifiquen a los residentes afectados dentro de 30 días después de determinar que ha ocurrido una violación de datos. Las organizaciones también deben reportar a la Fiscalía General de Colorado dentro de ese mismo plazo cuando 500 o más residentes de Colorado están afectados.
Colorado tiene una de las leyes de notificación de violación de datos más exigentes de Estados Unidos. El plazo de notificación de 30 días del estado le da a las organizaciones menos tiempo para responder que casi cualquier otra jurisdicción, y su definición de información personal protegida es una de las más amplias a nivel nacional.
La ley actual tomó forma a través del Proyecto de Ley de la Cámara 18-1128, firmado como ley en 2018 y vigente desde el 1 de septiembre de 2018. Esa legislación reformó las reglas anteriores de notificación de violaciones de Colorado al acortar el plazo de notificación, ampliar lo que se considera información personal y agregar un requisito de reporte a la Fiscalía General.
Para una visión más amplia del marco de privacidad de Colorado, incluyendo la Ley de Privacidad de Colorado, consulte la guía principal sobre las Leyes de Privacidad de Datos de Colorado.
Quién Debe Cumplir
Las obligaciones de notificación de violación de Colorado aplican a dos categorías de entidades.
Las entidades privadas caen bajo C.R.S. 6-1-716. Esto cubre a cualquier persona o entidad comercial que mantenga, sea propietaria o tenga licencia sobre datos computarizados que contengan información personal de residentes de Colorado en el curso de sus negocios.
Las entidades gubernamentales caen bajo C.R.S. 24-73-103. Esto cubre agencias estatales, condados, municipios, distritos escolares y otros organismos gubernamentales que mantienen información personal.
Ambos estatutos imponen el mismo plazo de notificación de 30 días y las mismas definiciones de información personal. La distinción clave es el mecanismo de cumplimiento: bajo el C.R.S. 6-1-716(4), la Fiscalía General puede presentar una acción en derecho o en equidad contra una entidad privada, incluso para recuperar daños económicos directos, mientras que bajo el C.R.S. 24-73-103(4) el recurso de la Fiscalía General contra una entidad gubernamental es una acción de medida cautelar.
Los proveedores de servicios externos no son entidades cubiertas. El C.R.S. 6-1-716(1)(b) establece que una entidad cubierta no incluye a una persona que actúe como proveedor de servicios externo. Un proveedor que mantiene, almacena o procesa información personal para una entidad cubierta tiene un deber más limitado bajo el C.R.S. 6-1-716(2)(b): debe notificar y cooperar con la entidad cubierta en el tiempo más expedito posible después de descubrir una violación. Notificar a los residentes afectados y a la Fiscalía General sigue siendo responsabilidad de la entidad cubierta.
La contratación de proveedores se rige por un estatuto distinto. Bajo el C.R.S. 6-1-713.5(2), a menos que una entidad cubierta acuerde proporcionar su propia protección de seguridad para la información que divulga a un proveedor de servicios externo, debe exigir que el proveedor implemente y mantenga procedimientos y prácticas de seguridad razonables apropiados para la información divulgada.
Qué Califica Como Información Personal
La definición de información personal de Colorado es una de las más amplias del país. Bajo el C.R.S. 6-1-716(1)(g), la ley protege el nombre o la inicial del nombre y el apellido de un residente de Colorado combinados con cualquiera de los siguientes elementos de datos no cifrados:
- Número de Seguro Social
- Número de licencia de conducir o número de tarjeta de identificación estatal
- Número de identificación estudiantil
- Número de identificación militar
- Número de pasaporte
- Información médica
- Número de identificación de seguro médico
- Datos biométricos usados con fines de autenticación
La ley también protege dos categorías independientes que no requieren coincidencia con un nombre:
- Un nombre de usuario o dirección de correo electrónico combinado con una contraseña o preguntas y respuestas de seguridad que permitirían el acceso a una cuenta en línea
- Un número de cuenta o número de tarjeta de crédito o débito combinado con cualquier código de seguridad, código de acceso o contraseña requerido
La inclusión de números de pasaporte, identificaciones estudiantiles e identificaciones militares distingue a Colorado de la mayoría de los otros estados, que generalmente limitan sus definiciones a números de Seguro Social, licencias de conducir y datos de cuentas financieras.
La información personal no incluye datos que estén legalmente disponibles a partir de registros gubernamentales o medios ampliamente distribuidos.
Qué Activa el Requisito de Notificación
Una violación de seguridad bajo la ley de Colorado es la adquisición no autorizada de datos computarizados no cifrados que compromete la seguridad, confidencialidad o integridad de la información personal mantenida por una entidad cubierta.
Cuando una entidad se entera de que puede haber ocurrido una violación, debe realizar una investigación pronta y de buena fe para determinar si la información personal ha sido o será objeto de uso indebido. La investigación debe evaluar la naturaleza y el alcance del incidente.
La notificación solo se requiere cuando la investigación determina que el uso indebido de la información personal ha ocurrido o es razonablemente probable que ocurra. Si la entidad determina que no hay una probabilidad razonable de uso indebido, no se requiere notificación, pero la entidad debe documentar su análisis.
El Plazo de Notificación de 30 Días
Colorado exige la notificación en el tiempo más expedito posible y sin demora injustificada, pero a más tardar 30 días después de que la entidad determine que ha ocurrido una violación.
Este plazo de 30 días comienza cuando la entidad determina que ocurrió una violación, no cuando la violación en sí ocurrió o cuando la entidad se enteró por primera vez de actividad sospechosa. Sin embargo, la investigación en si debe ser pronta. Retrasar una investigación para evitar activar el plazo probablemente violaría el requisito de buena fe del estatuto.
El plazo de 30 días es notablemente más corto que el de la mayoría de los estados. Muchos estados permiten 45 o 60 días, y algunos no tienen un plazo específico más allá de "sin demora injustificada".
Las autoridades policiales pueden solicitar un retraso en la notificación si esta pudiera obstaculizar una investigación criminal. La entidad debe proporcionar la notificación tan pronto como la agencia de aplicación de la ley determine que la notificación ya no comprometerá la investigación.
Qué Debe Incluir el Aviso
Colorado especifica el contenido que las cartas de notificación de violación deben contener. Los avisos enviados a los residentes afectados deben incluir:
- La fecha o el rango de fechas estimado de la violación de seguridad
- Una descripción de la información personal que fue adquirida o que razonablemente se cree que fue adquirida
- Información de contacto de la entidad que proporciona el aviso
- Información de contacto de la Comisión Federal de Comercio y de las agencias de informes crediticios
- Números gratuitos, direcciones y sitios web de las agencias de informes al consumidor
- Una declaración de que el residente puede obtener información de la FTC y de las agencias de informes crediticios sobre alertas de fraude y congelamientos de seguridad
Si la violación involucró credenciales de inicio de sesión (nombre de usuario o correo electrónico con contraseña), el aviso debe indicarle al residente que cambie de inmediato su contraseña y sus preguntas de seguridad para la cuenta afectada y para cualquier otra cuenta que use las mismas credenciales.
Reporte a la Fiscalía General
Cuando se cree razonablemente que una violación ha afectado a 500 o más residentes de Colorado, la entidad debe notificar a la oficina de la Fiscalía General de Colorado dentro del mismo plazo de 30 días.
La notificación a la Fiscalía General se presenta a través de un Formulario de Reporte de Violación de Datos en línea que mantiene la Sección de Protección al Consumidor. Si el formulario en línea no está disponible, las entidades pueden enviar un correo electrónico a databreach@coag.gov.
El formulario de reporte requiere:
- Nombre, tipo, dirección y datos de contacto de la entidad
- Tipos de información personal comprometida
- Número de residentes de Colorado afectados y total de personas afectadas en todos los estados
- Fechas en que comenzó, terminó, fue descubierta y en que se determinó la violación
- Fechas planificadas de notificación a los residentes afectados
- Si los datos estaban cifrados
- Tipo de violación (hackeo, phishing, malware, equipo perdido, uso indebido interno, etc.)
- Descripción del incidente
- Método de notificación a los residentes
El formulario de reporte establece que la información de contacto, el rango de fechas de la violación reportada, los tipos de información personal afectada y los ejemplos de avisos al consumidor pueden ser un registro público y podrían divulgarse a terceros fuera de la oficina de la Fiscalía General. Establece que el resto de la presentación se trata como material de investigación confidencial.
Notificación a Agencias de Informes al Consumidor
Si se cree razonablemente que la violación ha afectado a más de 1,000 residentes de Colorado, la entidad también debe notificar a las agencias nacionales de informes al consumidor (Equifax, Experian y TransUnion).
Este aviso debe incluir la fecha anticipada de notificación a los residentes afectados y el número aproximado de residentes que serán notificados. El propósito es preparar a las agencias de crédito para un aumento en las solicitudes de alertas de fraude y congelamientos de crédito.
Notificación Sustituta
Colorado permite la notificación sustituta cuando la notificación directa no es viable. Una entidad puede usar la notificación sustituta si demuestra que:
- El costo de proporcionar el aviso superaría los $250,000
- La clase afectada supera los 250,000 residentes de Colorado
- La entidad no cuenta con información de contacto suficiente
La notificación sustituta consiste en los tres elementos siguientes, no en una opción entre ellos:
- Notificación por correo electrónico, si la entidad cuenta con direcciones de correo electrónico de los miembros de la clase afectada
- Publicación visible del aviso en el sitio web de la entidad, si mantiene uno
- Notificación a los principales medios de comunicación estatales
El C.R.S. 24-73-103(1)(f)(IV) impone el mismo requisito de tres partes a las entidades gubernamentales.
Puerto Seguro de Cifrado
Colorado ofrece un puerto seguro de cifrado. La información personal que está cifrada, redactada o protegida por cualquier otro método que la haga ilegible o inutilizable no se considera que haya sido violada.
Esto significa que si los datos comprometidos estaban debidamente cifrados en el momento del acceso no autorizado, los requisitos de notificación generalmente no aplican. El cifrado debe haber estado en vigor antes de la violación, no aplicado después.
El puerto seguro tiene una excepción estatutaria. Bajo C.R.S. 6-1-716(2)(a.4) y (2)(g), aún se requiere notificación si la clave de cifrado, el proceso confidencial u otro medio para descifrar los datos también fue adquirido, o razonablemente se cree que fue adquirido, en la misma violación. El cifrado solo protege a una entidad de los deberes de notificación cuando la clave para desbloquearlo permanece segura.
Requisitos de Seguridad Razonable y Disposición de Datos
Más allá de la notificación de violación, la ley de Colorado impone obligaciones continuas de protección de datos a través de C.R.S. 6-1-713.5 y C.R.S. 6-1-713.
Bajo C.R.S. 6-1-713.5, las entidades cubiertas deben implementar y mantener procedimientos de seguridad razonables apropiados a la naturaleza de la información personal que poseen. El estándar es flexible y considera factores como el tamaño y la complejidad del negocio y la sensibilidad de los datos.
Bajo C.R.S. 6-1-713, las entidades también deben desarrollar y mantener una política escrita para la destrucción y disposición adecuada de documentos en papel y electrónicos que contengan información personal. Cuando los documentos ya no son necesarios, la entidad debe hacer ilegible la información personal.
Estas dos secciones utilizan un término más amplio que el estatuto de notificación de violación. La información personal identificable bajo el C.R.S. 6-1-713(2)(b) abarca un número de Seguro Social, un número de identificación personal, una contraseña o código de acceso, un número de licencia de conducir o tarjeta de identificación estatal o gubernamental, un número de pasaporte gubernamental, datos biométricos, un número de identificación de empleador, estudiante o militar, y un dispositivo de transacción financiera. Esos elementos adicionales son los que generan los deberes de disposición y seguridad razonable. No forman parte de la definición de notificación de violación del C.R.S. 6-1-716, por lo que un incidente limitado a ellos no activa por si solo la notificación.
Interacción con Regulaciones Federales y Estatales
Las entidades que cumplen con los requisitos de notificación de violación bajo marcos regulatorios federales o estatales, como HIPAA para el sector de salud o la Ley Gramm-Leach-Bliley para instituciones financieras, se consideran en cumplimiento de las disposiciones de notificación de Colorado.
Sin embargo, hay dos excepciones importantes. Incluso las entidades reguladas por HIPAA y GLBA todavía deben:
- Notificar a la Fiscalía General de Colorado cuando 500 o más residentes de Colorado estén afectados
- Seguir el plazo de notificación que sea más corto bajo la ley estatal o federal. Hoy eso significa que el plazo de 30 días de Colorado controla, porque es más corto que los plazos de HIPAA y GLBA, no porque el plazo de Colorado anule automáticamente la ley federal
La ley de notificación de violación de Colorado también existe junto a la Ley de Privacidad de Colorado (CPA), que entró en vigor el 1 de julio de 2023. La CPA aborda derechos de privacidad de datos más amplios (acceso, eliminación, exclusión voluntaria), mientras que el estatuto de notificación de violación se enfoca específicamente en incidentes de seguridad. Son complementarios, y las empresas que manejan datos de consumidores de Colorado deben cumplir con ambos.
Cumplimiento y Sanciones
La Fiscalía General de Colorado hace cumplir la ley de notificación de violación. No existe un derecho de acción privado, lo que significa que los consumidores individuales no pueden demandar directamente por fallas de notificación.
El cumplimiento se ejerce a través del C.R.S. 6-1-716(4), que permite a la Fiscalía General presentar una acción en derecho o en equidad para abordar infracciones de las secciones de notificación de violación, disposición y seguridad razonable, para obtener otro tipo de reparación que asegure el cumplimiento, o para recuperar daños económicos directos. La notificación de violación no es una de las prácticas comerciales engañosas enumeradas en el C.R.S. 6-1-105, razón por la cual el C.R.S. 6-1-113 no abre una acción civil privada para ella. Debido a que el C.R.S. 6-1-716 se encuentra dentro del artículo 1 del título 6, la disposición de sanción civil del C.R.S. 6-1-112(1)(a) lo alcanza: hasta $20,000 por infracción, contando cada consumidor o transacción como una infracción separada, sin límite en la sanción total para una serie relacionada de infracciones.
La Fiscalía General ha aplicado activamente estas disposiciones. Acciones notables incluyen:
- Savory Spice Shop (2022): Una empresa de Denver pago $30,000 después de que dos violaciones expusieran datos de tarjetas de pago de 13,888 clientes de Colorado. La empresa no mantuvo seguridad adecuada y retraso la notificación durante nueve meses a pesar de un compromiso de política de 30 días.
- Impact MHC (2021): Una empresa de gestión de parques de casas móviles pago $25,000 (con $30,000 adicionales suspendidos en espera de cumplimiento) después de que un ataque de phishing expusiera números de Seguro Social y datos financieros de más de 700 residentes de Colorado. La empresa retraso la notificación durante 10 meses.
Ambos casos resultaron en requisitos para implementar políticas escritas de seguridad de la información, desarrollar planes de respuesta a incidentes y mantener programas de cumplimiento continuo.
Más Leyes de Colorado
- Leyes de grabación de reuniones con IA en Colorado
- Leyes de pensión alimenticia en Colorado
- Leyes de empleo a voluntad en Colorado
- Leyes de accidentes automovilísticos en Colorado
- Leyes de asientos de seguridad para niños en Colorado
- Leyes de custodia de menores en Colorado
- Leyes de manutención infantil en Colorado
- Leyes de matrimonio de hecho en Colorado
- Leyes sobre deepfakes en Colorado
- Leyes de divorcio en Colorado
- Leyes sobre mordeduras de perro en Colorado
- Leyes de emancipación en Colorado
- Leyes de eliminación de antecedentes penales en Colorado
- Leyes sobre atropello y fuga en Colorado
- Leyes de propietarios e inquilinos en Colorado
- Leyes del limón en Colorado
Preguntas frecuentes
¿Qué tan rápido debe una empresa de Colorado notificar a los residentes sobre una violación de datos?
Colorado exige la notificación dentro de 30 días después de que la entidad determine que ha ocurrido una violación de seguridad. Este es uno de los plazos más cortos del país. El plazo de 30 días comienza cuando la entidad hace su determinación, no cuando ocurrió la violación en si. La entidad debe realizar una investigación pronta y de buena fe antes de hacer esa determinación.
¿Cuándo se debe notificar a la Fiscalía General de Colorado sobre una violación de datos?
Las entidades deben notificar a la Fiscalía General de Colorado dentro de 30 días cuando se cree razonablemente que una violación ha afectado a 500 o más residentes de Colorado. La notificación se presenta a través de un formulario de reporte en línea en coag.gov. Si la violación afecta a más de 1,000 residentes, la entidad también debe notificar a las agencias nacionales de informes al consumidor (Equifax, Experian, TransUnion).
¿La ley de Colorado exige notificación si los datos violados estaban cifrados?
En general, no. Colorado ofrece un puerto seguro de cifrado para la información personal que estaba cifrada, redactada o de otro modo hecha ilegible o inutilizable en el momento de la violación, y el cifrado debe haber estado en vigor antes de que ocurriera el acceso no autorizado. El puerto seguro no aplica si la clave de cifrado u otro medio para descifrar los datos también fue adquirido, o razonablemente se cree que fue adquirido, en la misma violación, en cuyo caso aún se requiere notificación.
¿Pueden las personas demandar por infracciones de notificación de violación de datos en Colorado?
No. Colorado no ofrece un derecho de acción privado para infracciones de notificación de violación. Solo la Fiscalía General de Colorado puede hacer cumplir la ley. El C.R.S. 6-1-716(4) permite a la Fiscalía General presentar una acción en derecho o en equidad y recuperar daños económicos directos, y debido a que el estatuto se encuentra dentro del artículo 1 del título 6, las sanciones civiles bajo el C.R.S. 6-1-112(1)(a) pueden alcanzar $20,000 por infracción. La notificación de violación no está en la lista de prácticas comerciales engañosas del C.R.S. 6-1-105, por lo que el C.R.S. 6-1-113 no otorga a los consumidores ninguna reclamación privada por ello. Las personas que sufran robo de identidad o fraude pueden tener otros recursos legales disponibles.
¿Cómo interactúa la ley de notificación de violación de Colorado con HIPAA y la Ley de Privacidad de Colorado?
Las entidades de salud reguladas por HIPAA y las instituciones financieras reguladas por GLBA que cumplen con sus requisitos federales de notificación generalmente se consideran en cumplimiento de la ley de Colorado. Sin embargo, todavía deben notificar a la Fiscalía General de Colorado cuando 500 o más residentes estén afectados. El aviso a las personas se rige por el plazo que sea más corto bajo la ley estatal o federal, lo que actualmente significa que el plazo de 30 días de Colorado controla porque es más corto que los plazos de HIPAA y GLBA. La Ley de Privacidad de Colorado (CPA) es una ley separada que aborda derechos de privacidad más amplios como el acceso y la eliminación de datos. Las empresas deben cumplir tanto con el estatuto de notificación de violación como con la CPA.
¿Afectado por una filtración de datos o una violación de privacidad biométrica?
Si sus datos personales quedaron expuestos en una filtración, o si su huella dactilar o escaneo facial se recopiló sin su consentimiento, podría ser elegible para unirse a un reclamo por compensación. Averígüelo gratis y sin compromiso.
Actualizaciones
Se corrigió la sección de cumplimiento: las infracciones de notificación de violación no son prácticas comerciales engañosas bajo la Ley de Protección al Consumidor de Colorado, sino que son aplicadas por la Fiscalía General bajo el C.R.S. 6-1-716(4) con sanciones civiles bajo el C.R.S. 6-1-112(1)(a); se agregó el elemento obligatorio de notificación a los medios estatales en la notificación sustituta, se eliminaron elementos de datos que pertenecen al estatuto de disposición y no al de notificación de violación, se corrigió el tratamiento de los proveedores de servicios externos, y se redirigieron las citas estatutarias al texto oficial de los Estatutos Revisados de Colorado.
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en las disposiciones legales a continuación, conservadas en nuestro propio registro jurídico y obtenidas de la fuente oficial. Toque una sección para leer el texto vigente.
Colorado Revised Statutes, Title 6: Consumer and Commercial Affairs
§ 6-1-716Notification of security breachVigente
(1) Definitions. As used in this section, unless the context otherwise requires: (a) Biometric data means unique biometric data generated from measurements or analysis of human body characteristics for the purpose of authenticating the individual when he or she accesses an online account. (b) Covered entity means a person, as defined in section 6-1-102 (6), that maintains, owns, or licenses personal information in the course of the person's business, vocation, or occupation. Covered entity does not include a person acting as a third-party service provider as defined in subsection (1)(i) of this section. (c) Determination that a security breach occurred means the point in time at which there is sufficient evidence to conclude that a security breach has taken place. (d) Encrypted means rendered unusable, unreadable, or indecipherable to an unauthorized person through a security technology or methodology generally accepted in the field of information security. (e) Medical information means any information about a consumer's medical or mental health treatment or diagnosis by a health-care professional.
Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en olls.info
Fuentes y referencias
- Colorado Consumer Data Protection Laws FAQ(coag.gov).gov
- HB 18-1128 Protections for Consumer Data Privacy(leg.colorado.gov).gov
- Colorado AG Data Breach Reporting Form(coag.gov).gov
- Colorado AG Data Privacy Complaints(coag.gov).gov
- Colorado Privacy Act(coag.gov).gov
- Colorado AG Data Security Best Practices(coag.gov).gov
- Savory Spice Shop Settlement(coag.gov).gov
- Impact MHC Settlement(coag.gov).gov
- HIPAA Information(hhs.gov).gov
- Gramm-Leach-Bliley Act(ftc.gov).gov
- Estatutos Revisados de Colorado 2026, Título 6 (C.R.S. 6-1-716, 6-1-713, 6-1-713.5, 6-1-112, 6-1-105, 6-1-113)(olls.info)
- Estatutos Revisados de Colorado 2026, Título 24 (C.R.S. 24-73-103, notificación de violación de datos de entidades gubernamentales)(olls.info)