¿Los preparadores de impuestos tienen que avisar a la FTC de una brecha de datos?
La respuesta corta
A veces. La sección 314.4(j) de la Regla de Salvaguardas de la FTC dice que se debe notificar a la FTC sobre los eventos de notificación. Si un evento de notificación involucra la información de al menos 500 consumidores, usted debe notificar a la FTC lo antes posible, y a más tardar 30 días después del descubrimiento. La regla define un evento de notificación como la adquisición de información de clientes no cifrada sin la autorización de la persona a la que pertenece. Avisar al IRS es un paso aparte, que se explica en robo de datos de un preparador de impuestos: qué hacer y a quién avisar.
Qué dice la regla
Las citas de esta página son traducción nuestra del texto en inglés de la regla y de las publicaciones. Los originales están en los enlaces de Fuentes.
El párrafo (j)(1) dice:
«Al descubrir un evento de notificación como se describe en el párrafo (j)(2) de esta sección, si el evento de notificación involucra la información de al menos 500 consumidores, usted debe notificar a la Comisión Federal de Comercio (FTC) lo antes posible, y a más tardar 30 días después del descubrimiento del evento.»
El aviso «se hará electrónicamente en un formulario que se ubicará en el sitio web de la FTC, https://www.ftc.gov».
El 500 cuenta a los consumidores cuya información involucra el evento. No mide el tamaño de su oficina. «Consumidor» es un término definido en la sección 314.2.
Qué cuenta como evento de notificación
La sección 314.2 dice: «Evento de notificación significa la adquisición de información de clientes no cifrada sin la autorización de la persona a la que pertenece la información.»
La definición sigue: «Se presumirá que la adquisición no autorizada incluye el acceso no autorizado a información de clientes no cifrada, a menos que usted tenga pruebas confiables que muestren que no hubo, o que razonablemente no pudo haber habido, una adquisición no autorizada de esa información.»
La regla usa un término distinto, «evento de seguridad», para «un evento que resulta en el acceso no autorizado a un sistema de información, a la información almacenada en ese sistema o a la información de clientes en formato físico, o en su interrupción o uso indebido». El párrafo (j) está escrito sobre los eventos de notificación.
Cifrada y no cifrada
La definición cubre la información de clientes no cifrada. Agrega: «Para este fin, la información de clientes se considera no cifrada si una persona no autorizada tuvo acceso a la clave de cifrado.»
La regla define el cifrado como «la transformación de datos a una forma que da como resultado una baja probabilidad de asignarles significado sin un proceso o una clave de protección, de acuerdo con los estándares criptográficos actuales y acompañada de salvaguardas apropiadas para el material de las claves criptográficas».
El párrafo (c)(3) dice por separado que debe «Proteger mediante cifrado toda la información de clientes que usted mantenga o transmita, tanto en tránsito por redes externas como en reposo». Donde usted determine que el cifrado no es factible, dice que usted «puede, en su lugar, proteger dicha información de clientes mediante controles compensatorios alternativos eficaces, revisados y aprobados por su Persona Calificada». La definición de evento de notificación de arriba está escrita en términos de información de clientes no cifrada. Si un evento en particular es un evento de notificación depende de los hechos, y esta guía no puede decidirlo por usted.
Qué contiene el aviso
El aviso deberá incluir:
- «El nombre y la información de contacto de la institución financiera que notifica;»
- «Una descripción de los tipos de información que estuvieron involucrados en el evento de notificación;»
- «Si es posible determinarlo, la fecha o el intervalo de fechas del evento de notificación;»
- «El número de consumidores afectados o potencialmente afectados por el evento de notificación;»
- «Una descripción general del evento de notificación; y»
- «Si algún funcionario encargado de hacer cumplir la ley le ha dado una determinación por escrito de que notificar al público de la brecha obstaculizaría una investigación criminal o causaría daño a la seguridad nacional, y un medio para que la Comisión Federal de Comercio se comunique con ese funcionario.»
Cuándo empieza a correr el plazo
El párrafo (j)(2) dice: «Un evento de notificación se tratará como descubierto a partir del primer día en que usted lo conozca.» Agrega que «Se considerará que usted tiene conocimiento de un evento de notificación si lo conoce cualquier persona, distinta de la persona que comete la brecha, que sea su empleado, funcionario u otro agente.»
La sección 314.5 dice: «La sección 314.4(j) entra en vigor el 13 de mayo de 2024.»
¿Cambia algo la exención para oficinas pequeñas?
La sección 314.6 enumera cuatro párrafos que no se aplican a las instituciones que mantienen información de clientes de menos de cinco mil consumidores: 314.4(b)(1), (d)(2), (h) e (i). El párrafo (j) no está entre ellos.
En qué se diferencia de avisar al IRS
La Publicación 4557 dice: «Los profesionales de impuestos deberían informar de inmediato al IRS las pérdidas o los robos de datos». Entre sus pasos está informar del robo de datos de clientes a su enlace local con las partes interesadas del IRS (Stakeholder Liaison). El aviso a la FTC es otro canal, con su propio detonante: la prueba de 500 consumidores y el límite de 30 días.
La Publicación 5708 pone a la FTC en su lista de muestra de notificaciones, junto al enlace con las partes interesadas del IRS y otros. Su muestra dice: «Informe los eventos de seguridad que afecten a 500 personas o más dentro de los 30 días posteriores al descubrimiento». El detonante de la regla misma es el evento de notificación definido arriba, así que lea el texto de la regla cuando decida. La parte del IRS, los avisos estatales y el resto de la lista están en la guía sobre robo de datos.
El generador gratuito de WISP hace un borrador del plan. No decide si usted debe un aviso.
Fuentes
- 16 CFR 314.2, 314.4, 314.5, 314.6 (eCFR, 2026-10-01): ecfr.gov, Parte 314 (en inglés)
- Publicación 4557 del IRS (Rev. 6-2024): irs.gov/pub/irs-pdf/p4557.pdf (en inglés)
- Publicación 5708 del IRS (Rev. 8-2024): irs.gov/pub/irs-pdf/p5708.pdf (en inglés)
- FTC: ftc.gov (la regla dice que el formulario está en el sitio web de la FTC; en inglés)
Esta es información general, no asesoría legal.
¿Prefiere que se lo preparemos?
Es para las oficinas que prefieren no escribir el plan ellas mismas. Cuesta $349, redactado con herramientas de IA a partir de sus propias respuestas. Solo documentos, sin acceso a sus sistemas y sin contraseñas, y cada respuesta se marca "informado por el dueño, no verificado". Qué pasa después de pagar: usted llena el cuestionario, y el plan terminado le llega por correo en un máximo de 3 días hábiles después de recibir el cuestionario completo. No es asesoría legal ni de impuestos.
Reciba el plan escrito, hecho para usted, $349 (la página de pago está en inglés)