Leyes de Notificación de Violación de Datos de Hawai: Reglas y Plazos para Reportar (2026)

Hawai exige a las empresas y agencias gubernamentales notificar a los residentes afectados de una violación de datos sin demora injustificada bajo el HRS 487N-2. Una empresa que notifica a más de 1,000 personas a la vez también debe enviar un aviso por escrito a la Oficina de Protección al Consumidor del estado y a las agencias de informes crediticios de cobertura nacional.

Hawai exige a las empresas y agencias gubernamentales notificar a los residentes cuando su información personal se ve comprometida en una violación de datos. La ley de Violación de Seguridad de Información Personal del estado, codificada en el HRS Capítulo 487N, se promulgó originalmente en 2006 y se ha actualizado para reflejar las preocupaciones modernas de seguridad de datos.

La ley de Hawai se destaca por dos razones. Primero, cubre tanto los registros electrónicos como los registros en papel, no solo los datos computarizados. Segundo, otorga a las personas afectadas un derecho de acción privado, permitiéndoles demandar por daños reales y recuperar honorarios de abogados. Estas disposiciones hacen que el marco de notificación de violaciones de Hawai sea más sólido que el de muchos otros estados.

Esta guía cubre los requisitos de notificación, los plazos, las sanciones y los mecanismos de aplicación bajo la ley de Hawai.

Para un contexto más amplio sobre el marco general de privacidad de Hawai, consulte la guía principal sobre las Leyes de Privacidad de Datos de Hawai.

Quién Debe Cumplir

La ley de notificación de violaciones de Hawai se aplica a tres categorías de entidades bajo el HRS 487N-2:

Las empresas que poseen o tienen licencia sobre información personal de residentes de Hawai deben notificar a las personas afectadas cuando ocurre una violación.

Las empresas que realizan negocios en Hawai y poseen o tienen licencia sobre información personal en cualquier forma, ya sea computarizada, en papel o de otro tipo, también deben cumplir.

Las agencias gubernamentales que recopilan información personal para propósitos gubernamentales específicos tienen las mismas obligaciones de notificación.

Esta amplia aplicabilidad significa que cualquier empresa que maneje información personal de residentes de Hawai, sin importar dónde esté ubicada la empresa, debe cumplir con los requisitos de notificación.

Qué Califica como Información Personal

Bajo el HRS 487N-1, "información personal" significa el primer nombre o la inicial del primer nombre y el apellido de una persona combinados con uno o más de los siguientes elementos de datos:

• Número de Seguro Social
• Número de licencia de conducir o número de tarjeta de identificación de Hawai
• Número de cuenta, número de tarjeta de crédito o débito, o código de acceso o contraseña que permitiría el acceso a una cuenta financiera

La definición excluye la información disponible públicamente que se pone legalmente a disposición del público en general a partir de registros gubernamentales federales, estatales o locales.

Ampliación Propuesta de la Definición

Los legisladores de Hawai han intentado ampliar esta definición en dos sesiones consecutivas, y ninguno de los dos intentos se ha convertido en ley.

El SB 1038 agregaría una definición de 'elemento de datos específico' y ampliaría la definición de información personal. Aprobó la Segunda Lectura en la Cámara como HD 1 el 19 de marzo de 2025 y fue remitido al Comité de Protección al Consumidor y Comercio. Su última acción registrada fue ser trasladado a la Sesión Regular de 2026 el 8 de diciembre de 2025, lo que lo deja inactivo en lugar de formalmente muerto.

La medida sucesora, SB 3016, avanzó más en 2026. Agrega definiciones de 'identificador' y 'elemento de datos específico', modifica la definición de información personal para efectos de la notificación de violaciones, y considera que los operadores de telecomunicaciones que cumplen con ciertas disposiciones federales cumplen con la ley estatal. El Senado la aprobó 25 a 0 el 10 de marzo de 2026, y el Comité de Protección al Consumidor y Comercio de la Cámara la reportó como HD 1 el 24 de marzo de 2026, cuando fue remitida al Comité de Judicatura y Asuntos Hawaianos. No se registra ninguna acción adicional sobre la medida, y no fue promulgada.

El resultado práctico para el cumplimiento es que la definición estatutaria (número de Seguro Social, número de licencia de conducir o de identificación de Hawai, y número de cuenta financiera con código de acceso o contraseña) permanece sin cambios.

Qué Activa una Notificación

Una "violación de seguridad" bajo la ley de Hawai significa un incidente de acceso no autorizado y adquisición de registros o datos no encriptados o no redactados que contienen información personal, en el que ha ocurrido, o es razonablemente probable que ocurra, un uso ilegal de la información personal, y que crea un riesgo de daño a una persona.

Dos puntos clave distinguen el detonante de Hawai:

Se requiere riesgo de daño. No todo acceso no autorizado requiere notificación. La entidad debe determinar que ha ocurrido un uso ilegal o es razonablemente probable que ocurra, y que la violación crea un riesgo de daño.

Excepción de datos encriptados. Si los registros violados estaban encriptados, no se requiere notificación a menos que la clave de encriptación o el proceso confidencial también se haya visto comprometido en el mismo incidente.

Plazo y Requisitos de Notificación

Plazo

Hawai no establece un número específico de días para la notificación. En cambio, la ley exige la divulgación "sin demora injustificada", de manera consistente con las necesidades legítimas de la aplicación de la ley y cualquier medida necesaria para determinar el alcance de la violación y restaurar la integridad, seguridad y confidencialidad razonables del sistema de datos.

Este estándar flexible da a las empresas cierto margen para investigar la violación antes de notificar, pero también significa que la Oficina de Protección al Consumidor de Hawai o un tribunal pueden determinar después del hecho si una demora fue injustificada.

Métodos de Notificación

Bajo el HRS 487N-2(e), una empresa o agencia gubernamental puede proporcionar el aviso mediante uno de los siguientes métodos:

• Aviso escrito enviado a la última dirección conocida
• Aviso por correo electrónico para las personas de las que la entidad tiene una dirección de correo electrónico válida y que han aceptado recibir comunicaciones electrónicamente, de conformidad con la Ley federal E-SIGN (15 U.S.C. 7001)
• Aviso telefónico, siempre que el contacto se haga directamente con las personas afectadas
• Aviso sustituto si el costo del aviso directo excedería $100,000, la clase afectada supera las 200,000 personas, o la empresa no tiene suficiente información de contacto. El aviso sustituto requiere aviso por correo electrónico (si está disponible), publicación visible en el sitio web de la empresa, y notificación a los principales medios de comunicación a nivel estatal.

Contenido de la Notificación

El HRS 487N-2(d) exige que el aviso sea claro y evidente, y que describa los cinco elementos siguientes:

• El incidente en términos generales
• El tipo de información personal que estuvo sujeta al acceso y adquisición no autorizados
• Las medidas generales que la empresa o agencia gubernamental ha tomado para proteger la información personal de un acceso no autorizado adicional
• Un número de teléfono al que la persona pueda llamar para obtener más información y asistencia, si existe uno
• Consejos que orienten a la persona a mantenerse alerta revisando los estados de cuenta y monitoreando los informes de crédito gratuitos

Un aviso que solo menciona las categorías de datos involucradas no cumple con este estándar.

Aviso a Reguladores y Agencias de Crédito

Cuando una empresa notifica a más de mil personas a la vez, el HRS 487N-2(f) exige que notifique por escrito, sin demora injustificada, a dos destinatarios adicionales:

• La Oficina de Protección al Consumidor del estado de Hawai, dentro del Departamento de Comercio y Asuntos del Consumidor
• Todas las agencias de informes crediticios que compilan y mantienen archivos sobre los consumidores a nivel nacional, según se definen en 15 U.S.C. 1681a(p)

Ambos avisos deben cubrir el momento, la distribución y el contenido del aviso enviado a las personas afectadas. Hay dos detalles fáciles de confundir: el detonante es el número de personas notificadas a la vez, no el número de residentes de Hawai cuyos datos estuvieron involucrados, y el inciso (f) está redactado para aplicarse a una empresa.

Informes de Agencias Gubernamentales a la Legislatura

Una sección aparte, el HRS 487N-4, impone un plazo estricto a las agencias gubernamentales. Una agencia debe presentar un informe escrito a la legislatura dentro de veinte días después de descubrir una violación de seguridad. El informe debe detallar la naturaleza de la violación, el número de personas afectadas, una copia del aviso que se emitió, el número de personas a las que se envió, si el aviso se retrasó por motivos de aplicación de la ley, y cualquier procedimiento implementado para prevenir una recurrencia. Si una agencia de aplicación de la ley solicita una demora, el informe puede posponerse hasta veinte días después de que esa agencia determine que el aviso ya no impedirá la investigación ni pondrá en riesgo la seguridad nacional.

Obligaciones de Agentes Terceros

Cualquier empresa ubicada en Hawai, cualquier empresa que realice negocios en Hawai, y cualquier agencia gubernamental que mantenga o posea registros que contengan información personal que no le pertenece ni sobre la cual tiene licencia debe notificar al propietario o licenciatario de la información inmediatamente después de descubrir la violación.

Sanciones y Aplicación de la Ley

Sanciones Civiles

Cualquier empresa que infrinja cualquier disposición del Capítulo 487N enfrenta sanciones de hasta $2,500 por infracción bajo el HRS 487N-3. El Fiscal General o el director ejecutivo de la Oficina de Protección al Consumidor pueden presentar acciones de aplicación de la ley. El inciso (a) termina con un límite que muchos lectores pasan por alto: dicha acción no puede presentarse contra una agencia gubernamental.

Derecho de Acción Privado

Hawai es uno de los pocos estados que otorga a las personas un derecho de acción privado por infracciones de notificación de violación de datos. Cualquier empresa que infrinja el Capítulo 487N es responsable ante la parte perjudicada por los daños reales sufridos como resultado de la infracción. Los tribunales pueden otorgar honorarios razonables de abogados a la parte ganadora.

Esta disposición otorga a los residentes de Hawai un recurso significativo. A diferencia de los estados donde solo el Fiscal General puede actuar, las personas afectadas en Hawai pueden presentar sus propios reclamos ante los tribunales. Aplica la misma excepción que en las sanciones civiles: el HRS 487N-3(b) establece que dicha acción no puede presentarse contra una agencia gubernamental, por lo que una persona cuyos datos fueron expuestos por una agencia estatal o del condado no puede demandar bajo este capítulo.

Prohibición de Renuncia

Cualquier renuncia a las disposiciones del HRS 487N-2, la sección de aviso, es contraria a la política pública y es nula e inaplicable. La cláusula contra la renuncia del inciso (h) está redactada para cubrir esa sección, no el capítulo en su conjunto. Esto significa que las empresas no pueden incluir cláusulas en contratos o términos de servicio que intenten renunciar a los derechos de un consumidor bajo la ley de notificación de violaciones.

Puerto Seguro de HIPAA

Los proveedores de atención médica y los planes de salud que cumplen con los estándares de privacidad y seguridad de la Ley de Portabilidad y Responsabilidad del Seguro Médico de 1996 (HIPAA) se consideran en cumplimiento con los requisitos de notificación de Hawai. Esto evita obligaciones duplicadas para las entidades cubiertas por HIPAA que ya mantienen procedimientos de notificación de violaciones bajo la ley federal.

Cómo se Compara Hawai con Otros Estados

La ley de notificación de violaciones de Hawai tiene varias características que la distinguen de muchos otros estados.

Cubre los registros en papel. Muchos estados solo requieren notificación por violaciones de datos computarizados. Hawai cubre la información personal "en cualquier forma", incluidos los registros en papel.

Derecho de acción privado contra empresas. La mayoría de los estados limitan la aplicación al fiscal general. Hawai permite a las personas demandar directamente a una empresa por daños reales y honorarios de abogados, aunque no a una agencia gubernamental.

Sin un número específico de días para el aviso al consumidor. A diferencia de los estados que establecen plazos de 30, 45 o 60 días, Hawai usa el estándar de "sin demora injustificada" para notificar a las personas afectadas. Esto proporciona flexibilidad pero también genera incertidumbre. Las agencias gubernamentales sí enfrentan un plazo estricto, pero corre hacia la legislatura y no hacia los consumidores: un informe escrito dentro de veinte días bajo el HRS 487N-4.

Sanción por infracción más baja. Con $2,500 por infracción, la sanción de Hawai es más baja que los límites de $500,000 por violación que se encuentran en Alabama y Arizona. La cifra de $7,500 por infracción intencional que suele citarse para California proviene de la Ley de Privacidad del Consumidor de California (CCPA), no del estatuto de notificación de violaciones de California, el cual permite que un cliente perjudicado recupere daños en lugar de establecer una sanción por infracción.

Más Leyes de Hawai

• Leyes de Grabación de Reuniones con IA de Hawai
• Leyes de Pensión Alimenticia de Hawai
• Leyes de Empleo a Voluntad de Hawai
• Leyes de Accidentes de Auto de Hawai
• Leyes de Asientos de Auto para Niños de Hawai
• Leyes de Custodia de Menores de Hawai
• Leyes de Manutención de Menores de Hawai
• Leyes de Matrimonio de Hecho de Hawai
• Leyes de Deepfakes de Hawai
• Leyes de Divorcio de Hawai
• Leyes sobre Mordeduras de Perro de Hawai
• Leyes de Emancipación de Hawai
• Leyes de Eliminación de Antecedentes de Hawai
• Leyes de Choque y Fuga de Hawai
• Leyes de Propietario e Inquilino de Hawai
• Leyes del Limón de Hawai

Este artículo proporciona información legal general sobre las leyes de notificación de violación de datos de Hawai. No es asesoría legal. Las leyes y regulaciones cambian con frecuencia, y este contenido puede no reflejar los desarrollos más recientes. Consulte a un abogado calificado con licencia en Hawai para obtener asesoría sobre su situación específica.