(a)CA Derecho Civil Code § 1798.29(a) Cualquier agencia que posea o licencie datos informatizados que incluyan información personal deberá divulgar cualquier violación de la seguridad del sistema tras el descubrimiento o la notificación de la violación de la seguridad de los datos a cualquier residente de California (1) cuya información personal no cifrada fue, o se cree razonablemente que fue, adquirida por una persona no autorizada, o, (2) cuya información personal cifrada fue, o se cree razonablemente que fue, adquirida por una persona no autorizada y la clave de cifrado o credencial de seguridad fue, o se cree razonablemente que fue, adquirida por una persona no autorizada y la agencia que posee o licencia la información cifrada tiene una creencia razonable de que la clave de cifrado o credencial de seguridad podría hacer que esa información personal sea legible o utilizable. La divulgación se realizará en el tiempo más expedito posible y sin demora irrazonable, de acuerdo con las necesidades legítimas de las fuerzas del orden, según lo dispuesto en el apartado (c), o cualquier medida necesaria para determinar el alcance de la violación y restaurar la integridad razonable del sistema de datos.
(b)CA Derecho Civil Code § 1798.29(b) Cualquier agencia que mantenga datos informatizados que incluyan información personal que la agencia no posea deberá notificar al propietario o licenciatario de la información sobre cualquier violación de la seguridad de los datos inmediatamente después de su descubrimiento, si la información personal fue, o se cree razonablemente que fue, adquirida por una persona no autorizada.
(c)CA Derecho Civil Code § 1798.29(c) La notificación requerida por esta sección podrá retrasarse si una agencia de aplicación de la ley determina que la notificación impedirá una investigación criminal. La notificación requerida por esta sección se realizará después de que la agencia de aplicación de la ley determine que no comprometerá la investigación.
(d)CA Derecho Civil Code § 1798.29(d) Cualquier agencia a la que se le exija emitir una notificación de violación de seguridad conforme a esta sección deberá cumplir con todos los siguientes requisitos:
(1)CA Derecho Civil Code § 1798.29(d)(1) La notificación de violación de seguridad deberá estar redactada en lenguaje sencillo, deberá titularse “Aviso de Violación de Datos”, y deberá presentar la información descrita en el párrafo (2) bajo los siguientes encabezados: “Qué Sucedió”, “Qué Información Estuvo Involucrada”, “Qué Estamos Haciendo”, “Qué Puede Hacer Usted” y “Para Más Información”. Se podrá proporcionar información adicional como un suplemento al aviso.
(A)CA Derecho Civil Code § 1798.29(d)(1)(A) El formato del aviso deberá estar diseñado para llamar la atención sobre la naturaleza y la importancia de la información que contiene.
(B)CA Derecho Civil Code § 1798.29(d)(1)(B) El título y los encabezados del aviso deberán mostrarse de forma clara y visible.
(C)CA Derecho Civil Code § 1798.29(d)(1)(C) El texto del aviso y de cualquier otro aviso proporcionado conforme a esta sección no deberá ser inferior a 10 puntos.
(D)CA Derecho Civil Code § 1798.29(d)(1)(D) Para un aviso por escrito descrito en el párrafo (1) del apartado (i), el uso del formulario modelo de notificación de violación de seguridad prescrito a continuación o el uso de los encabezados descritos en este párrafo con la información descrita en el párrafo (2), redactado en lenguaje sencillo, se considerará en cumplimiento con este apartado.
[NOMBRE DE LA INSTITUCIÓN / LOGOTIPO]
_____
_____
Fecha: [insertar fecha]
AVISO DE VIOLACIÓN DE DATOS
¿Qué Sucedió?
¿Qué Información Estuvo Involucrada?
Qué Estamos Haciendo.
Qué Puede Hacer Usted.
Otra Información Importante.
[insertar otra información importante]
Para Más Información.
Llame al [número de teléfono] o visite [sitio web de internet]
(E)CA Derecho Civil Code § 1798.29(E) Para un aviso electrónico descrito en el párrafo (2) del apartado (i), el uso de los encabezados descritos en este párrafo con la información descrita en el párrafo (2), redactado en lenguaje sencillo, se considerará en cumplimiento con este apartado.
(2)CA Derecho Civil Code § 1798.29(2) La notificación de violación de seguridad descrita en el párrafo (1) deberá incluir, como mínimo, la siguiente información:
(A)CA Derecho Civil Code § 1798.29(2)(A) El nombre y la información de contacto de la agencia informante sujeta a esta sección.
(B)CA Derecho Civil Code § 1798.29(2)(B) Una lista de los tipos de información personal que fueron o se cree razonablemente que fueron objeto de una violación.
(C)CA Derecho Civil Code § 1798.29(2)(C) Si es posible determinar la información en el momento en que se proporciona el aviso, entonces cualquiera de los siguientes: (i) la fecha de la violación, (ii) la fecha estimada de la violación, o (iii) el rango de fechas en que ocurrió la violación. La notificación también deberá incluir la fecha del aviso.
(D)CA Derecho Civil Code § 1798.29(2)(D) Si la notificación se retrasó como resultado de una investigación de las fuerzas del orden, si esa información es posible de determinar en el momento en que se proporciona el aviso.
(E)CA Derecho Civil Code § 1798.29(2)(E) Una descripción general del incidente de violación, si esa información es posible de determinar en el momento en que se proporciona el aviso.
(F)CA Derecho Civil Code § 1798.29(2)(F) Los números de teléfono gratuitos y las direcciones de las principales agencias de informes de crédito, si la violación expuso un número de seguro social o un número de licencia de conducir o tarjeta de identificación de California.
(3)CA Derecho Civil Code § 1798.29(3) A discreción de la agencia, la notificación de violación de seguridad también podrá incluir cualquiera de los siguientes:
(A)CA Derecho Civil Code § 1798.29(3)(A) Información sobre lo que la agencia ha hecho para proteger a las personas cuya información ha sido violada.
(B)CA Derecho Civil Code § 1798.29(3)(B) Consejos sobre los pasos que las personas cuya información ha sido violada pueden tomar para protegerse.
(e)CA Derecho Civil Code § 1798.29(e) Cualquier agencia a la que se le exija emitir una notificación de violación de seguridad conforme a esta sección a más de 500 residentes de California como resultado de una única violación del sistema de seguridad deberá presentar electrónicamente una única copia de muestra de dicha notificación de violación de seguridad, excluyendo cualquier información de identificación personal, al Fiscal General. Una única copia de muestra de una notificación de violación de seguridad no se considerará incluida en el Artículo 1 (que comienza con la Sección 7923.600) del Capítulo 1 de la Parte 5 de la División 10 del Título 1 del Código de Gobierno.
(f)CA Derecho Civil Code § 1798.29(f) Para los fines de esta sección, “violación de la seguridad del sistema” significa la adquisición no autorizada de datos informatizados que compromete la seguridad, confidencialidad o integridad de la información personal mantenida por la agencia. La adquisición de buena fe de información personal por parte de un empleado o agente de la agencia para los fines de la agencia no constituye una violación de la seguridad del sistema, siempre que la información personal no se utilice ni sea objeto de divulgación no autorizada adicional.
(g)CA Derecho Civil Code § 1798.29(g) Para los fines de esta sección, “información personal” significa cualquiera de los siguientes:
(1)CA Derecho Civil Code § 1798.29(g)(1) El nombre o la inicial del nombre y el apellido de un individuo en combinación con uno o más de los siguientes elementos de datos, cuando el nombre o los elementos de datos no estén cifrados:
(A)CA Derecho Civil Code § 1798.29(g)(1)(A) Número de seguro social.
(B)CA Derecho Civil Code § 1798.29(g)(1)(B) Número de licencia de conducir, número de tarjeta de identificación de California, número de identificación fiscal, número de pasaporte, número de identificación militar u otro número de identificación único emitido en un documento gubernamental comúnmente utilizado para verificar la identidad de un individuo específico.
(C)CA Derecho Civil Code § 1798.29(g)(1)(C) Número de cuenta o número de tarjeta de crédito o débito, en combinación con cualquier código de seguridad, código de acceso o contraseña requeridos que permitirían el acceso a la cuenta financiera de un individuo.
(D)CA Derecho Civil Code § 1798.29(g)(1)(D) Información médica.
(E)CA Derecho Civil Code § 1798.29(g)(1)(E) Información de seguro de salud.
(F)CA Derecho Civil Code § 1798.29(g)(1)(F) Datos biométricos únicos generados a partir de mediciones o análisis técnicos de características del cuerpo humano, como una huella dactilar, retina o imagen del iris, utilizados para autenticar a un individuo específico. Los datos biométricos únicos no incluyen una fotografía física o digital, a menos que se utilicen o almacenen para fines de reconocimiento facial.
(G)CA Derecho Civil Code § 1798.29(g)(1)(G) Información o datos recopilados mediante el uso u operación de un sistema automatizado de reconocimiento de matrículas, según se define en la Sección 1798.90.5.
(H)CA Derecho Civil Code § 1798.29(g)(1)(H) Datos genéticos.
(2)CA Derecho Civil Code § 1798.29(g)(2) Un nombre de usuario o dirección de correo electrónico, en combinación con una contraseña o pregunta y respuesta de seguridad que permitirían el acceso a una cuenta en línea.
(h)Copy CA Derecho Civil Code § 1798.29(h)
(1)Copy CA Derecho Civil Code § 1798.29(h)(1) Para los fines de esta sección, “información personal” no incluye la información disponible públicamente que se pone legalmente a disposición del público en general a partir de registros gubernamentales federales, estatales o locales.
(2)CA Derecho Civil Code § 1798.29(h)(2) Para los fines de esta sección, “información médica” significa cualquier información relativa al historial médico de un individuo, su condición mental o física, o el tratamiento o diagnóstico médico por parte de un profesional de la salud.
(3)CA Derecho Civil Code § 1798.29(h)(3) Para los fines de esta sección, “información de seguro de salud” significa el número de póliza de seguro de salud o el número de identificación de suscriptor de un individuo, cualquier identificador único utilizado por una aseguradora de salud para identificar al individuo, o cualquier información en el historial de solicitudes y reclamaciones de un individuo, incluidos los registros de apelaciones.
(4)CA Derecho Civil Code § 1798.29(h)(4) Para los fines de esta sección, “cifrado” significa inutilizado, ilegible o indescifrable para una persona no autorizada mediante una tecnología o metodología de seguridad generalmente aceptada en el campo de la seguridad de la información.
(5)CA Derecho Civil Code § 1798.29(h)(5) Para los fines de esta sección, “datos genéticos” significa cualquier dato, independientemente de su formato, que resulte del análisis de una muestra biológica de un individuo, o de otra fuente que permita obtener información equivalente, y que se refiera a material genético. El material genético incluye, entre otros, ácidos desoxirribonucleicos (ADN), ácidos ribonucleicos (ARN), genes, cromosomas, alelos, genomas, alteraciones o modificaciones del ADN o ARN, polimorfismos de un solo nucleótido (SNP), datos no interpretados que resultan del análisis de la muestra biológica u otra fuente, y cualquier información extrapolada, derivada o inferida de los mismos.
(i)CA Derecho Civil Code § 1798.29(i) Para los fines de esta sección, el “aviso” podrá proporcionarse mediante uno de los siguientes métodos:
(1)CA Derecho Civil Code § 1798.29(i)(1) Aviso por escrito.
(2)CA Derecho Civil Code § 1798.29(i)(2) Aviso electrónico, si el aviso proporcionado es consistente con las disposiciones relativas a los registros y firmas electrónicos establecidas en la Sección 7001 del Título 15 del Código de los Estados Unidos.
(3)CA Derecho Civil Code § 1798.29(i)(3) Aviso sustituto, si la agencia demuestra que el costo de proporcionar el aviso excedería los doscientos cincuenta mil dólares ($250,000), o que la clase afectada de personas sujetas a notificación excede las 500,000, o la agencia no tiene suficiente información de contacto. El aviso sustituto deberá consistir en todo lo siguiente:
(A)CA Derecho Civil Code § 1798.29(i)(3)(A) Aviso por correo electrónico cuando la agencia tenga una dirección de correo electrónico para las personas sujetas.
(B)CA Derecho Civil Code § 1798.29(i)(3)(B) Publicación visible, por un mínimo de 30 días, del aviso en el sitio web de internet de la agencia, si la agencia mantiene uno. Para los fines de este subpárrafo, la publicación visible en el sitio web de internet de la agencia significa proporcionar un enlace al aviso en la página de inicio o en la primera página significativa después de ingresar al sitio web de internet que esté en un tipo de letra más grande que el texto circundante, o en un tipo, fuente o color contrastante con el texto circundante del mismo tamaño, o separado del texto circundante del mismo tamaño por símbolos u otras marcas que llamen la atención sobre el enlace.
(C)CA Derecho Civil Code § 1798.29(i)(3)(C) Notificación a los principales medios de comunicación estatales y a la Oficina de Seguridad de la Información dentro del Departamento de Tecnología.
(4)CA Derecho Civil Code § 1798.29(i)(4) En el caso de una violación de la seguridad del sistema que involucre información personal definida en el párrafo (2) del apartado (g) para una cuenta en línea, y ninguna otra información personal definida en el párrafo (1) del apartado (g), la agencia podrá cumplir con esta sección proporcionando la notificación de violación de seguridad en formato electrónico o de otra forma que indique a la persona cuya información personal ha sido violada que cambie prontamente su contraseña y pregunta o respuesta de seguridad, según corresponda, o que tome otras medidas apropiadas para proteger la cuenta en línea con la agencia y todas las demás cuentas en línea para las cuales la persona utiliza el mismo nombre de usuario o dirección de correo electrónico y contraseña o pregunta o respuesta de seguridad.
(5)CA Derecho Civil Code § 1798.29(i)(5) En el caso de una violación de la seguridad del sistema que involucre información personal definida en el párrafo (2) del apartado (g) para credenciales de inicio de sesión de una cuenta de correo electrónico proporcionada por la agencia, la agencia no deberá cumplir con esta sección proporcionando la notificación de violación de seguridad a esa dirección de correo electrónico, sino que podrá, en su lugar, cumplir con esta sección proporcionando el aviso por otro método descrito en este apartado o mediante un aviso claro y visible entregado al residente en línea cuando el residente esté conectado a la cuenta en línea desde una dirección de Protocolo de Internet o ubicación en línea desde la cual la agencia sabe que el residente accede habitualmente a la cuenta.
(j)CA Derecho Civil Code § 1798.29(j) No obstante el apartado (i), una agencia que mantenga sus propios procedimientos de notificación como parte de una política de seguridad de la información para el tratamiento de la información personal y que sea consistente con los requisitos de tiempo de esta parte se considerará que cumple con los requisitos de notificación de esta sección si notifica a las personas sujetas de acuerdo con sus políticas en caso de una violación de la seguridad del sistema.
(k)CA Derecho Civil Code § 1798.29(k) No obstante la excepción especificada en el párrafo (4) del apartado (b) de la Sección 1798.3, para los fines de esta sección, “agencia” incluye una agencia local, según se define en la Sección 7920.510 del Código de Gobierno.
(l)CA Derecho Civil Code § 1798.29(l) Para los fines de esta sección, “clave de cifrado” y “credencial de seguridad” significan la clave o el proceso confidencial diseñado para hacer que los datos sean utilizables, legibles y descifrables.
(m)CA Derecho Civil Code § 1798.29(m) No obstante cualquier otra ley, el Colegio de Abogados de California deberá cumplir con esta sección. Este apartado no se interpretará en el sentido de aplicar otras disposiciones de este capítulo al Colegio de Abogados.
