New Mexico
Leyes de Notificación de Violaciones de Datos de Nuevo México: Reglas y Plazos de Reporte (2026)
Verificado de forma independiente contra fuentes primarias (última auditoría: 15 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 15 de agosto de 2026. · 3 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
Bajo la Ley de Notificación de Violaciones de Datos de Nuevo México (Data Breach Notification Act), N.M. Stat. Ann. 57-12C-1 y siguientes, las empresas deben notificar a los residentes afectados dentro de los 45 días calendario posteriores al descubrimiento de una violación de datos. El plazo comienza en la fecha del descubrimiento, no en la fecha en que ocurrió la violación. El Fiscal General de Nuevo México y las principales agencias de informes crediticios a nivel nacional también deben ser notificados siempre que una sola violación requiera notificar a más de 1,000 residentes de Nuevo México.
Si su empresa maneja información personal perteneciente a residentes de Nuevo México, una violación de datos activa obligaciones legales específicas bajo la Ley de Notificación de Violaciones de Datos de Nuevo México. N.M. Stat. 57-12C-1 y siguientes (Ley de Notificación de Violaciones de Datos, texto promulgado) establece quién debe notificar, qué activa el deber de notificación y con qué rapidez se requiere actuar. Nuevo México fue uno de los últimos estados en adoptar una ley de notificación de violaciones de datos, promulgando el estatuto en 2017. Sin embargo, la ley incluye disposiciones modernas como la cobertura de datos biométricos y un plazo firme de notificación de 45 días.
Esta guía cubre el alcance completo de los requisitos de notificación de violaciones de datos de Nuevo México, incluyendo qué información personal activa la ley, quién debe ser notificado, el cronograma, las sanciones, las exenciones y cómo el marco más amplio de privacidad de datos del estado interactúa con las obligaciones de notificación de violaciones.
Quién Debe Cumplir con la Ley de Notificación de Violaciones de Datos de Nuevo México
La ley de Nuevo México se aplica a cualquier persona o empresa que posea u otorgue licencias de información personal identificable de residentes de Nuevo México. El estatuto utiliza el término "persona" de manera amplia para incluir corporaciones, sociedades, LLC, asociaciones y otras entidades.
Las entidades gubernamentales son la gran excepción. N.M. Stat. 57-12C-12 (Ley de Notificación de Violaciones de Datos, Sección 12) establece que nada en la Ley «se interpretará en el sentido de que se aplique al estado de Nuevo México o a cualquiera de sus subdivisiones políticas», y el propio título de la ley que la promulgó confirma este punto. Las agencias estatales, los condados, los municipios y otras subdivisiones políticas quedan, por lo tanto, fuera de los deberes de notificación de la Ley.
La ley también se aplica a los procesadores de datos externos. Cuando una persona o empresa que mantiene datos en nombre de otra entidad descubre una violación, debe notificar al propietario o licenciante de los datos en el tiempo más expedito posible, pero a más tardar 45 días calendario después del descubrimiento. Este es el mismo estándar de 45 días que se aplica para notificar directamente a los residentes afectados, no un plazo separado más corto.
Las empresas ubicadas fuera del estado que manejan información personal de residentes de Nuevo México están sujetas a esta ley.
Qué Califica como una Violación de Seguridad de Datos
Bajo N.M. Stat. 57-12C-2 (Ley de Notificación de Violaciones de Datos, Sección 2), una "violación de seguridad" significa la adquisición no autorizada de datos informáticos no cifrados, o de datos informáticos cifrados junto con el proceso confidencial o la clave, que compromete la seguridad, confidencialidad o integridad de la información personal identificable mantenida por una persona.
Excepción de Buena Fe
La adquisición de buena fe de información personal identificable por parte de un empleado o agente de la persona para un propósito comercial legítimo no constituye una violación de seguridad, siempre que la información personal identificable no esté sujeta a divulgación no autorizada adicional. Esa condición es la única que impone el estatuto.
Puerto Seguro de Cifrado (Encryption Safe Harbor)
Nuevo México ofrece un puerto seguro para los datos cifrados. Si la información personal identificable comprometida estaba cifrada y la clave de cifrado o el proceso confidencial no también fueron adquiridos, no se requiere notificación. Si tanto los datos cifrados como la clave fueron comprometidos, el puerto seguro no aplica.
Información Personal que Activa la Notificación
La definición de información personal identificable de Nuevo México es notablemente amplia para un estado que promulgó su ley en 2017. Bajo N.M. Stat. 57-12C-2 (Ley de Notificación de Violaciones de Datos, Sección 2), la información personal identificable significa el nombre o la inicial del nombre y el apellido de una persona combinados con uno o más de los siguientes elementos:
- Número de Seguro Social
- Número de licencia de conducir
- Número de identificación emitido por el gobierno
- Número de cuenta, número de tarjeta de crédito o de débito combinado con cualquier código de seguridad, código de acceso o contraseña requerida que permitiera el acceso a la cuenta financiera
- Datos biométricos (huella dactilar, huella de voz, patrones de iris o retina, características faciales, o geometría de la mano utilizados para autenticar la identidad al acceder a una ubicación física, dispositivo, sistema o cuenta)
La inclusión de datos biométricos coloca a Nuevo México entre los estados con protección más integral, reconociendo que los identificadores biométricos no pueden cambiarse una vez comprometidos.
La información personal identificable no incluye información disponible públicamente que se pone legalmente a disposición del público en general a partir de registros gubernamentales federales, estatales o locales.
El Plazo de Notificación de 45 Días
Nuevo México impone un plazo firme de 45 días para la notificación de violaciones de datos bajo N.M. Stat. 57-12C-6 (Ley de Notificación de Violaciones de Datos, Sección 6). La notificación debe realizarse a más tardar 45 días calendario después del descubrimiento de la violación de seguridad.
El plazo comienza a partir de la fecha del descubrimiento, no de la fecha en que ocurrió la violación. Esta distinción importa porque las violaciones a menudo se descubren semanas o meses después del acceso no autorizado inicial.
Excepción por Riesgo de Daño
No se requiere notificación a las personas afectadas si, tras una investigación apropiada, la empresa determina que la violación no genera un riesgo significativo de robo de identidad o fraude. Esta excepción puede eliminar por completo el deber de notificación, no solo retrasarlo.
Cuándo se Permite una Demora
N.M. Stat. 57-12C-9 (Ley de Notificación de Violaciones de Datos, Sección 9) permite retrasar la notificación por cualquiera de dos motivos independientes:
- Una agencia de aplicación de la ley determina que la notificación obstaculizará una investigación criminal.
- La demora es necesaria para determinar el alcance de la violación de seguridad y restaurar la integridad, seguridad y confidencialidad del sistema de datos.
Ambos motivos tienen el mismo peso. Los plazos de 45 días de las Secciones 6 y 10 están redactados, cada uno, «salvo lo dispuesto en la Sección 9», de modo que el trabajo de determinar el alcance y contener una violación puede extender la notificación más allá de los 45 días, igual que una solicitud de la aplicación de la ley. El estatuto no fija un límite máximo para ninguna de las dos demoras ni establece un plazo para la notificación una vez que cesa el motivo de la demora, así que notificar tan pronto como el motivo de la demora deje de aplicar es la postura más defendible.
Quién Debe Ser Notificado
Personas Afectadas
Todo residente de Nuevo México cuya información personal identificable no cifrada haya sido, o se crea razonablemente que haya sido, adquirida por una persona no autorizada debe ser notificado. La notificación debe incluir:
- El nombre y la información de contacto de la persona que realiza la notificación
- Una lista de los tipos de información personal identificable que razonablemente se cree que fueron objeto de la violación, si se conocen
- La fecha, fecha estimada o rango de fechas estimado de la violación de seguridad, si se conoce
- Una descripción general del incidente de violación de seguridad
- Los números de teléfono gratuitos y las direcciones de las principales agencias de informes crediticios
- Recomendaciones para que el destinatario revise los estados de cuenta personales y los informes crediticios, según corresponda, para detectar errores derivados de la violación
- Información sobre los derechos del destinatario bajo la ley federal Fair Credit Reporting Act
Fiscal General de Nuevo México y Agencias de Informes Crediticios
Conforme a N.M. Stat. 57-12C-10, una empresa está obligada a notificar al Fiscal General de Nuevo México y a las principales agencias de informes crediticios a nivel nacional únicamente cuando una sola violación de seguridad requiera notificar a más de 1,000 residentes de Nuevo México. El Fiscal General y las agencias de informes crediticios comparten este mismo umbral; no se activa con cualquier violación.
La Sección 10 detalla lo que debe acompañar a esa notificación, y la lista es breve:
- Notificación de la propia violación de seguridad
- El número de residentes de Nuevo México que recibieron notificación conforme a la Sección 6
- Una copia de la notificación enviada a las personas afectadas
El estatuto no exige nada más. No existe obligación de informar el momento o la distribución de las notificaciones individuales, ni las medidas correctivas adoptadas en respuesta a la violación.
Por separado, una empresa que utilice la notificación sustitutiva bajo N.M. Stat. 57-12C-6(E) siempre debe enviar una copia a la oficina del Fiscal General, sin importar cuántos residentes se vean afectados.
Cómo Proporcionar la Notificación
N.M. Stat. 57-12C-6(D) permite tres métodos de notificación y ningún otro:
- Correo postal de Estados Unidos
- Notificación electrónica, si la persona obligada a notificar se comunica principalmente con el residente de Nuevo México por medios electrónicos, o si el aviso es conforme a la Ley E-SIGN (15 U.S.C. 7001)
- Notificación sustitutiva, disponible únicamente en las circunstancias limitadas descritas a continuación
La notificación telefónica no está entre los métodos permitidos.
Notificación Sustitutiva
La notificación sustitutiva está disponible cuando:
- El costo de proporcionar la notificación superaría los $100,000
- La clase afectada supera los 50,000 residentes de Nuevo México
- La entidad no cuenta con información de contacto suficiente
La notificación sustitutiva debe incluir todo lo siguiente:
- Notificación por correo electrónico a las personas de las que la entidad tenga una dirección de correo electrónico válida
- Publicación visible del aviso en el sitio web de la entidad, si mantiene uno
- Notificación por escrito a la oficina del Fiscal General y a los principales medios de comunicación de Nuevo México
Los umbrales de notificación sustitutiva de Nuevo México ($100,000 de costo y 50,000 personas afectadas) son moderados, ubicándose entre los umbrales bajos de estados como New Hampshire y los umbrales altos de estados como California.
Aplicación de la Ley y Sanciones
La ley de notificación de violaciones de datos de Nuevo México es aplicada directamente por el Fiscal General de Nuevo México bajo la propia disposición de aplicación de la Ley de Notificación de Violaciones de Datos, N.M. Stat. 57-12C-11, y no bajo la Ley de Prácticas Injustas por separado.
El Fiscal General puede solicitar:
- Medidas cautelares para detener violaciones en curso
- Daños por costos o pérdidas reales, incluidas las pérdidas financieras consecuentes
- Sanciones civiles, por violaciones cometidas de forma consciente o imprudente, del monto mayor entre $25,000 o $10 por cada instancia de notificación fallida, hasta un máximo de $150,000
No existe un derecho de acción privado por violaciones de la ley de notificación de violaciones de datos. Solo el Fiscal General puede iniciar acciones de aplicación bajo el estatuto. Las personas pueden presentar reclamos de derecho consuetudinario (common law), como negligencia, pero no bajo la propia ley de notificación de violaciones.
Exenciones
N.M. Stat. 57-12C-8 (Ley de Notificación de Violaciones de Datos, Sección 8) es una sola oración: la Ley «no se aplicará a una persona sujeta a la Ley federal Gramm-Leach-Bliley o a la Ley federal de Portabilidad y Responsabilidad del Seguro Médico de 1996 (HIPAA)». La exención depende del estatus de la entidad, no de su desempeño.
Instituciones Financieras Reguladas por la GLBA
Una institución financiera sujeta a la Ley Gramm-Leach-Bliley queda fuera de los requisitos de notificación de violaciones de Nuevo México. El estatuto no condiciona esto a que la institución mantenga un programa particular de seguridad de la información, ni pregunta si los procedimientos federales de la institución son tan rigurosos como los del estado.
Entidades Cubiertas por HIPAA
Una persona sujeta a HIPAA también queda fuera de la Ley. Las entidades de atención médica y sus asociados comerciales siguen las reglas federales de notificación de violaciones de HIPAA; si cumplen con esas reglas es una cuestión para los reguladores federales, no una condición de la exención estatal.
Estas exenciones excluyen por completo a las entidades calificadas del estatuto estatal, en lugar de exigir un cumplimiento paralelo.
Obligaciones de Seguridad de Datos
Más allá de la notificación de violaciones, Nuevo México exige que toda persona que posea u otorgue licencias de información personal identificable de residentes de Nuevo México implemente y mantenga procedimientos y prácticas de seguridad razonables, apropiados a la naturaleza de la información, para protegerla contra el acceso, destrucción, uso, modificación o divulgación no autorizados. Este mandato general de seguridad de datos se aplica independientemente de si ocurre o no una violación.
Las empresas que recopilan información personal identificable también deben tomar medidas razonables para destruir, o disponer la destrucción, de los registros que contengan información personal identificable que ya no sea necesaria, mediante trituración, borrado u otra modificación de la información para hacerla ilegible o indescifrable.
Más Leyes de Nuevo México
- Leyes de Grabación de Reuniones con IA de Nuevo México
- Leyes de Pensión Conyugal de Nuevo México
- Leyes de Empleo a Voluntad de Nuevo México
- Leyes de Accidentes Automovilísticos de Nuevo México
- Leyes de Sillas de Auto para Niños de Nuevo México
- Leyes de Custodia de Menores de Nuevo México
- Leyes de Manutención Infantil de Nuevo México
- Leyes de Matrimonio de Hecho de Nuevo México
- Leyes sobre Deepfakes de Nuevo México
- Leyes de Divorcio de Nuevo México
- Leyes sobre Mordeduras de Perro de Nuevo México
- Leyes de Emancipación de Nuevo México
- Leyes de Eliminación de Antecedentes Penales de Nuevo México
- Leyes sobre Accidentes con Fuga de Nuevo México
- Leyes de Propietarios e Inquilinos de Nuevo México
- Leyes del Limón de Nuevo México
Este artículo ofrece información legal general sobre las leyes de privacidad de datos de Nuevo México y los requisitos de notificación de violaciones de datos. No constituye asesoría legal ni crea una relación abogado-cliente. La respuesta ante una violación de datos implica obligaciones sujetas a plazos estrictos. Consulte a un abogado calificado con licencia en Nuevo México para obtener orientación específica sobre su situación.
Preguntas frecuentes
¿Cuánto tiempo tiene una empresa para notificar a los residentes de Nuevo México sobre una violación de datos?
La ley de Nuevo México exige la notificación a más tardar 45 días calendario después del descubrimiento de la violación. El plazo comienza en la fecha del descubrimiento, no en la fecha en que ocurrió la violación. N.M. Stat. 57-12C-9 permite retrasar la notificación por cualquiera de dos motivos independientes: que una agencia de aplicación de la ley determine que la notificación obstaculizará una investigación criminal, o que la demora sea necesaria para determinar el alcance de la violación y restaurar la integridad, seguridad y confidencialidad del sistema de datos. El plazo de 45 días está redactado como una excepción a la Sección 9, de modo que cualquiera de los dos motivos puede extender la notificación más allá de ese plazo.
¿Nuevo México exige que las empresas notifiquen al Fiscal General después de una violación de datos?
Sí, pero solo cuando una sola violación requiera notificar a más de 1,000 residentes de Nuevo México. En ese punto, N.M. Stat. 57-12C-10 exige notificar tanto al Fiscal General como a las principales agencias de informes crediticios a nivel nacional. El estatuto exige notificar la violación de seguridad, el número de residentes de Nuevo México que recibieron notificación conforme a la Sección 6, y una copia de la notificación enviada a las personas afectadas. Una empresa que utilice la notificación sustitutiva también debe enviar una copia al Fiscal General sin importar cuántos residentes se vean afectados.
¿La ley de notificación de violaciones de datos de Nuevo México cubre los datos biométricos?
Sí. Nuevo México incluye los datos biométricos en su definición de información personal identificable. Esto abarca huellas dactilares, huellas de voz, patrones de iris o retina, características faciales y geometría de la mano utilizados para autenticar la identidad al acceder a una ubicación física, dispositivo, sistema o cuenta. Una violación de datos biométricos combinada con un nombre activa el requisito completo de notificación en 45 días.
¿Las entidades cubiertas por HIPAA están exentas de la ley de notificación de violaciones de datos de Nuevo México?
Sí. La Sección 8 de la Ley de Notificación de Violaciones de Datos establece que la Ley no se aplica a una persona sujeta a HIPAA ni a la Ley federal Gramm-Leach-Bliley, de modo que las entidades de atención médica, sus asociados comerciales y las instituciones financieras reguladas por la GLBA quedan todas fuera de su alcance. La exención depende de estar sujeto a esas leyes federales, no de mantener un programa de seguridad en particular ni de qué tan bien la entidad cumpla con ellas. Estas entidades siguen, en cambio, sus respectivos marcos federales.
¿Pueden las personas demandar por una violación de la ley de notificación de violaciones de datos en Nuevo México?
No. La ley de notificación de violaciones de datos de Nuevo México no crea un derecho de acción privado. Solo el Fiscal General puede hacer cumplir el estatuto, bajo la propia disposición de sanciones civiles de la Ley de Notificación de Violaciones de Datos, que permite sanciones de hasta $150,000 por violaciones cometidas de forma consciente o imprudente. Las personas pueden presentar reclamos de derecho consuetudinario, como negligencia, pero no pueden demandar directamente bajo la Ley de Notificación de Violaciones de Datos.
¿Afectado por una filtración de datos o una violación de privacidad biométrica?
Si sus datos personales quedaron expuestos en una filtración, o si su huella dactilar o escaneo facial se recopiló sin su consentimiento, podría ser elegible para unirse a un reclamo por compensación. Averígüelo gratis y sin compromiso.
Actualizaciones
Se corrigieron las reglas de notificación de violaciones de datos de Nuevo México conforme al texto promulgado de la Ley de Notificación de Violaciones de Datos: la notificación puede retrasarse tanto por una investigación policial como para determinar el alcance y contener la violación, la notificación telefónica no es un método permitido, las exenciones de GLBA y HIPAA dependen de estar sujeto a esas leyes federales y no de mantener un programa comparable, la Ley no se aplica al estado ni a sus subdivisiones políticas, y el contenido exigido tanto del aviso individual como del aviso al fiscal general ahora coincide con las Secciones 7 y 10.
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en las disposiciones legales a continuación, conservadas en nuestro propio registro jurídico y obtenidas de la fuente oficial. Toque una sección para leer el texto vigente.
New Mexico Statutes Annotated 1978, Chapter 57
§ 57-12C-1Short titleVigentecitada en 6 de nuestros artículos
This act [57-12C-1 to 57-12C-12 NMSA 1978] may be cited as the "Data Breach Notification Act".
Texto oficial (extracto) · verificado el 2026-07-30 · Lea el texto completo en nuestra biblioteca legal · Verifique en nmonesource.com
Citada en 1 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2022
Resoluciones que citan esta sección en nuestra colección:
- Charlie v. Rehoboth McKinley Christian Health Care Services (District Court, D. New Mexico 2022)“…s’ data under the New Mexico Data Breach Notification Act, N.M. Stat. Ann. § 57-12C-1, et seq. (2017).”); id. at 13 (“Defenda…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
También citada en: Leyes de Privacidad de Datos de Nuevo México: Notificación de Violaciones, Aplicación de la Fiscalía General y Legislación 2026, Leyes de Privacidad Biométrica de Nuevo México: Recopilación, Consentimiento y Sanciones (2026)
Explore la ley
Las leyes citadas arriba hacen referencia a estas secciones relacionadas en su propio texto:
- New Mexico Statutes Annotated 1978, Chapter 57 § 57-12C-12 — State of New Mexico and political subdivisions exempted. ver en nuestro registro legal · leer en la fuente oficial
Leyes relacionadas para lectura adicional; no forman parte de las citas de este artículo.