Leyes de Notificación de Violaciones de Datos de Wyoming: Reglas de Reporte y Plazos (2026)

Wyoming exige que las empresas notifiquen a los residentes afectados de una violación de datos en el tiempo más expedito posible y sin demora injustificada bajo el Wyo. Stat. 40-12-502. La ley no establece un plazo fijo en días; las entidades deben investigar con prontitud y notificar tan pronto como se haya producido o sea razonablemente probable un uso indebido.

La ley de notificación de violaciones de datos de Wyoming aplica exclusivamente a individuos y entidades comerciales del sector privado. Si bien el estado no impone un plazo fijo de notificación ni exige el reporte a agencias estatales, su definición de información personal identificable es sorprendentemente amplia, abarcando categorías que muchos estados más grandes aún no han adoptado, incluidas las actas de nacimiento y certificados de matrimonio, las tarjetas de identificación tribal, los tokens de seguridad compartidos y la información de seguro médico.

La ley está codificada en el Wyo. Stat. 40-12-501 (definiciones) y el Wyo. Stat. 40-12-502 (requisitos de notificación). Promulgada originalmente en 2007, la ley fue enmendada significativamente en 2015, cuando la legislatura amplió la definición de información personal identificable y añadió requisitos específicos de contenido del aviso.

Para una visión más amplia del marco de privacidad de Wyoming, consulte la guía principal sobre las Leyes de Privacidad de Datos de Wyoming.

Quién Debe Cumplir

La ley de notificación de violaciones de Wyoming aplica a cualquier individuo o entidad comercial que realice negocios en Wyoming y que posea u otorgue licencias de datos computarizados que contengan información personal identificable sobre residentes de Wyoming.

La ley se limita específicamente al sector privado. Las agencias gubernamentales no están cubiertas por este estatuto. En cambio, las agencias estatales de Wyoming están cubiertas por otra norma: el Wyo. Stat. 9-21-101(a) exige que toda agencia del poder ejecutivo adopte, aplique y mantenga una política de datos que incluya, en el inciso (a)(v), procesos para identificar y responder a incidentes de seguridad de datos, «incluidos los procedimientos de notificación y mitigación de violaciones». Esa sección excluye expresamente a la legislatura, el poder judicial, la Universidad de Wyoming y los colegios comunitarios del estado.

Los custodios de datos externos también están cubiertos. Bajo el Wyo. Stat. 40-12-502(g), una persona que mantiene datos computarizados que contienen información personal identificable en nombre de otra entidad comercial debe divulgar una violación a esa entidad tan pronto como sea factible después de determinar que la información personal identificable fue, o se cree razonablemente que fue, adquirida por una persona no autorizada. El custodio y el propietario de los datos pueden acordar cuál de ellos enviará el aviso al consumidor, y solo se requiere un único aviso por cada violación. Si no llegan a un acuerdo, la parte que tenga la relación comercial directa con el residente de Wyoming debe proporcionar el aviso.

Qué Califica como Información Personal Identificable

La definición de información personal identificable de Wyoming es una de las más completas del país. Bajo el Wyo. Stat. 40-12-501(a)(vii), información personal identificable significa el nombre o inicial del nombre y el apellido de una persona combinados con uno o más de los elementos de datos especificados en el Wyo. Stat. 6-3-901(b)(iii) a (xiv), cuando dichos elementos no estén redactados:

• Número de Seguro Social
• Número de licencia de conducir
• Número de cuenta financiera, número de tarjeta de crédito o número de tarjeta de débito combinado con cualquier código de seguridad, código de acceso o contraseña que permita el acceso a una cuenta financiera
• Tarjeta de identificación tribal
• Tarjeta de identificación emitida por el gobierno federal o estatal
• Secretos compartidos o tokens de seguridad conocidos por utilizarse para autenticación basada en datos
• Nombre de usuario o dirección de correo electrónico combinados con una contraseña o pregunta de seguridad y respuesta que permita el acceso a una cuenta en línea
• Acta de nacimiento o certificado de matrimonio
• Información médica, incluido el historial médico, condición mental o física, o tratamiento o diagnóstico médico por un profesional de la salud
• Información de seguro médico, incluidos números de póliza, identificaciones de suscriptor, identificadores únicos de la aseguradora, e historial de reclamos
• Datos biométricos únicos generados a partir de mediciones o análisis de las características del cuerpo humano con fines de autenticación
• Número de identificación individual del contribuyente

La inclusión de actas de nacimiento y certificados de matrimonio, identificaciones tribales, secretos de autenticación compartidos, e historial de reclamos de seguro médico distingue a Wyoming de la mayoría de los estados. Las enmiendas de 2015 añadieron muchas de estas categorías ampliadas.

La información personal identificable no incluye la información contenida en registros gubernamentales federales, estatales o locales, o en medios de amplia distribución que se pongan legalmente a disposición del público en general.

Qué Desencadena el Requisito de Notificación

Una "violación de seguridad" bajo la ley de Wyoming significa la adquisición no autorizada de datos computarizados que compromete materialmente la seguridad, confidencialidad o integridad de la información personal identificable y causa, o se cree razonablemente que causará, pérdida o daño a un residente de Wyoming.

El desencadenante involucra un análisis de dos partes:

1. Compromiso material: La adquisición no autorizada debe comprometer materialmente la seguridad, confidencialidad o integridad de los datos. Los incidentes menores o intrascendentes pueden no cumplir con este umbral.

2. Pérdida o daño: La violación debe causar, o se debe creer razonablemente que causará, pérdida o daño a un residente de Wyoming.

Cuando una entidad se entera de una posible violación, debe realizar una investigación de buena fe, razonable y pronta para determinar la probabilidad de que la información personal identificable haya sido o vaya a ser objeto de uso indebido. Si la investigación determina que el uso indebido ha ocurrido o es razonablemente probable, se requiere notificación.

La adquisición de buena fe de información personal identificable por parte de un empleado o agente de la entidad no constituye una violación, siempre que la información no se utilice ni se divulgue de manera no autorizada.

Cronograma de Notificación

Wyoming exige el aviso "en el tiempo más expedito posible y sin demora injustificada", de manera compatible con las necesidades legítimas de las fuerzas del orden y con las medidas necesarias para determinar el alcance de la violación y restablecer la integridad razonable del sistema de datos computarizados.

No hay un plazo específico en días. Este estándar abierto brinda flexibilidad a las entidades para la investigación, pero proporciona menos certeza que los estados con plazos fijos.

El Wyo. Stat. 40-12-502(b) permite una sola demora, y es limitada: la notificación «puede demorarse si una agencia de las fuerzas del orden determina por escrito que la notificación podría obstaculizar seriamente una investigación criminal». La determinación debe constar por escrito, y una investigación criminal es el único motivo que menciona el estatuto.

Qué Debe Incluir el Aviso al Consumidor

Las enmiendas de 2015 añadieron requisitos específicos de contenido para las notificaciones de violaciones. El aviso debe incluir, como mínimo:

• Un número de teléfono gratuito que la persona pueda usar para comunicarse con la entidad que recopila los datos, o con su agente, y a través del cual pueda conocer los números de teléfono de contacto gratuitos y las direcciones de las principales agencias de informes crediticios
• Los tipos de información personal identificable que fueron, o se cree razonablemente que fueron, objeto de la violación
• Una descripción general del incidente de violación
• La fecha aproximada de la violación, si es razonablemente determinable al momento del aviso
• En términos generales, las medidas tomadas por la entidad para proteger el sistema de futuras violaciones
• Aviso que dirija a la persona a permanecer vigilante revisando sus estados de cuenta y monitoreando sus reportes de crédito
• Si la notificación se retrasó como resultado de una investigación de las fuerzas del orden, si es razonablemente determinable

El aviso debe ser claro y visible. Estos requisitos de contenido son más detallados que en muchos estados con estándares de notificación abiertos.

Métodos de Notificación

Wyoming permite la notificación mediante uno de los siguientes métodos:

• Aviso escrito
• Aviso por correo electrónico
• Aviso sustituto, si la entidad demuestra que el costo del aviso excedería el umbral estatutario, la clase afectada excede el umbral estatutario, o no cuenta con información de contacto suficiente (ver Aviso Sustituto a continuación)

Aviso Sustituto

Wyoming permite el aviso sustituto, pero los umbrales difieren según si la entidad tiene su sede en Wyoming:

Entidades con sede en Wyoming pueden usar el aviso sustituto si:

• El costo del aviso excedería los $10,000
• La clase afectada excede las 10,000 personas
• La entidad no cuenta con información de contacto suficiente

Entidades sin sede en Wyoming pueden usar el aviso sustituto si:

• El costo del aviso excedería los $250,000
• La clase afectada excede las 500,000 personas
• La entidad no cuenta con información de contacto suficiente

Los umbrales más bajos para las entidades con sede en Wyoming reflejan la menor escala de muchas empresas dentro del estado.

Bajo el Wyo. Stat. 40-12-502(d)(iv), el aviso sustituto «debe consistir en todo lo siguiente», no en una elección entre ellos:

• Publicación visible del aviso en el sitio web de la entidad, si mantiene un sitio público
• Notificación a los principales medios de comunicación estatales, y ese aviso a los medios debe incluir a su vez un número de teléfono gratuito al que una persona pueda llamar para saber si sus datos personales estuvieron incluidos en la violación

La notificación a los medios es, por lo tanto, acumulativa. Se exige junto con la publicación en el sitio web, no solo como alternativa para una entidad que no tiene sitio web. La definición general de aviso sustituto en el Wyo. Stat. 40-12-501(a)(x) también incluye el aviso por correo electrónico cuando la entidad cuenta con direcciones de correo electrónico de las personas afectadas.

Sin Notificación al Fiscal General

Wyoming no exige notificación al Fiscal General ni a ninguna otra agencia estatal cuando ocurre una violación de datos. Tampoco existe un requisito de notificar a las agencias de informes crediticios, independientemente del número de residentes afectados.

Esto convierte a Wyoming en uno de los estados menos exigentes en términos de obligaciones de reporte gubernamental.

Sin Refugio Seguro por Cifrado

Wyoming no proporciona un refugio seguro por cifrado. Las palabras «cifrar» y «cifrado» no aparecen en ninguna parte del Wyo. Stat. 40-12-501 ni del 40-12-502, por lo que cifrar los datos comprometidos no elimina por sí solo el deber de notificar.

La excepción que sí existe es la redacción. Bajo el Wyo. Stat. 40-12-501(a)(vii), la información personal identificable se refiere a un nombre combinado con los elementos de datos enumerados únicamente «cuando esos elementos de datos no están redactados», y el Wyo. Stat. 40-12-501(a)(viii) define la redacción como la alteración o truncamiento de los datos de manera que no queden accesibles más de cinco dígitos del elemento de datos.

Por separado, el deber de notificar solo se activa cuando la adquisición no autorizada compromete materialmente los datos y causa, o se cree razonablemente que causará, pérdida o daño a un residente de Wyoming, y cuando una investigación pronta y de buena fe muestra que el uso indebido ha ocurrido o es razonablemente probable. Un cifrado sólido puede ser evidencia relevante en esa investigación, pero no constituye una exención estatutaria.

Excepciones

Bajo el Wyo. Stat. 40-12-502(c), una institución financiera que mantiene procedimientos de notificación sujetos a la Ley Gramm-Leach-Bliley se considera en cumplimiento con los requisitos de notificación de Wyoming si notifica a los clientes afectados de Wyoming bajo sus obligaciones federales. De manera similar, bajo el Wyo. Stat. 40-12-502(h), una entidad cubierta o asociado comercial que cumple con HIPAA se considera en cumplimiento con los requisitos de notificación de Wyoming si notifica a los clientes afectados de Wyoming bajo sus obligaciones federales.

Aplicación

El Fiscal General de Wyoming puede iniciar una acción legal o de equidad para abordar cualquier infracción y para cualquier otro remedio que resulte apropiado para garantizar el cumplimiento, recuperar daños, o ambos.

No existe un derecho de acción privado. Los consumidores individuales no pueden demandar directamente bajo este estatuto por fallas de notificación.

El estatuto no especifica montos máximos de sanción, dejando los remedios de aplicación a discreción de los tribunales. El Fiscal General puede buscar medidas cautelares, órdenes de cumplimiento y daños según las circunstancias de cada caso.

Más Leyes de Wyoming

• Leyes de Grabación en Reuniones de IA de Wyoming
• Leyes de Pensión Alimenticia de Wyoming
• Leyes de Empleo a Voluntad de Wyoming
• Leyes de Accidentes Automovilísticos de Wyoming
• Leyes de Asientos de Auto de Wyoming
• Leyes de Custodia de Menores de Wyoming
• Leyes de Manutención Infantil de Wyoming
• Leyes de Matrimonio de Hecho de Wyoming
• Leyes de Deepfake de Wyoming
• Leyes de Divorcio de Wyoming
• Leyes de Atropello y Fuga de Wyoming
• Leyes de Emancipación de Wyoming
• Leyes de Eliminación de Antecedentes Penales de Wyoming
• Leyes de Arrendador-Inquilino de Wyoming
• Leyes del Limón de Wyoming
• Leyes de Poder Notarial de Wyoming