La Regla de Salvaguardas de la FTC para preparadores de impuestos, en palabras sencillas
La Regla de Salvaguardas (Safeguards Rule) de la FTC es 16 CFR Parte 314. Se aplica a los preparadores de impuestos. Esto es lo que dice, según el texto de eCFR al 1 de octubre de 2026.
¿Se aplica a una oficina de impuestos?
Sí. La regla nombra a "an accountant or other tax preparation service that is in the business of completing income tax returns" (traducción nuestra: «un contador u otro servicio de preparación de impuestos que se dedica a completar declaraciones de impuestos sobre los ingresos») como ejemplo de institución financiera. La sección 314.1(b) también enumera por nombre a "tax preparation firms" (traducción nuestra: «firmas de preparación de impuestos») entre los negocios que la regla cubre. La Publicación 5708 dice lo mismo, sin importar el tamaño.
Qué exige
Usted debe desarrollar, implementar y mantener un programa de seguridad de la información que esté por escrito en una o más partes fácilmente accesibles. Sus salvaguardas deben corresponder a su tamaño y complejidad, a la naturaleza de sus actividades y a la sensibilidad de la información de clientes.
La sección 314.4 enumera los elementos. Entre ellos:
- Designe a una Persona Calificada para supervisar el programa.
- Base el programa en una evaluación de riesgos (escrita, para las oficinas con 5,000 consumidores o más).
- Limite el acceso a la información de clientes a quienes la necesitan para sus funciones.
- Cifre la información de clientes en tránsito por redes externas y en reposo. Si usted decide que el cifrado no es factible, su Persona Calificada debe revisar y aprobar controles alternativos eficaces.
- Use autenticación de varios factores (MFA) para toda persona que acceda a un sistema de información, a menos que su Persona Calificada apruebe por escrito un control equivalente o más seguro.
- Tenga procedimientos para desechar la información de forma segura, dentro de los dos años posteriores a la última vez que se usó para el cliente, a menos que una ley le exija conservarla por más tiempo o se aplique otra excepción enumerada.
- Pruebe o vigile con regularidad qué tan bien funcionan sus salvaguardas clave, y registre lo que hacen los usuarios autorizados.
- Capacite a su personal y supervise a sus proveedores de servicios, también mediante un contrato que exija salvaguardas.
- Tenga un plan escrito de respuesta a incidentes (para las oficinas con 5,000 consumidores o más).
La excepción para oficinas pequeñas
La sección 314.6 dice que cuatro partes de 314.4 no se aplican a una firma que tiene información de clientes de menos de cinco mil consumidores. Son los requisitos de evaluación de riesgos escrita de (b)(1), los requisitos de pruebas de (d)(2), el plan escrito de respuesta a incidentes de (h) y el informe escrito a una junta directiva o a un funcionario superior de (i). El resto de 314.4 no está en esa lista. La Publicación 5708 aun así incluye los procedimientos ante una brecha de seguridad como anexo de muestra.
Cómo avisar a la FTC de una brecha
Si un evento de notificación involucra la información de al menos 500 consumidores, usted debe avisar a la FTC lo antes posible y a más tardar 30 días después del descubrimiento. El aviso se presenta electrónicamente en el sitio web de la FTC. Esta parte entró en vigor el 13 de mayo de 2024. También se aplica a las oficinas pequeñas; la sección 314.6 no la exime.
Más detalle: ¿Los preparadores de impuestos tienen que avisar a la FTC de una brecha de datos?
Un evento de notificación es la adquisición no autorizada de información de clientes sin cifrar. El acceso no autorizado cuenta, a menos que usted tenga pruebas confiables de que no se adquirió nada, y los datos cuentan como sin cifrar si se tomó la clave.
Algo que puede revisar hoy
Hicimos un escaneo pasivo de 13,771 sitios web de preparación de impuestos y contabilidad; 13,481 respondieron. Lea el informe. Para una plantilla, vea la guía de la plantilla del plan escrito de seguridad de la información (WISP).
Fuentes
- 16 CFR 314.2, 314.3, 314.4, 314.5, 314.6 (eCFR, 2026-10-01): ecfr.gov, Parte 314
- Publicación 5708 del IRS (Rev. 8-2024): irs.gov/pub/irs-pdf/p5708.pdf
Esta es información general, no asesoría legal.
¿Prefiere que se lo preparemos?
Es para las oficinas que prefieren no escribir el plan ellas mismas. Cuesta $349, redactado con herramientas de IA a partir de sus propias respuestas. Solo documentos, sin acceso a sus sistemas y sin contraseñas, y cada respuesta se marca "informado por el dueño, no verificado". Qué pasa después de pagar: usted llena el cuestionario, y el plan terminado le llega por correo en un máximo de 3 días hábiles después de recibir el cuestionario completo. No es asesoría legal ni de impuestos.
Reciba el plan escrito, hecho para usted, $349 (la página de pago está en inglés)