Robo de datos de un preparador de impuestos: qué hacer y a quién avisar

Read in English

Dos textos dicen a quién avisar cuando se roban o se pierden datos de clientes en una oficina de impuestos. La Publicación 5708 del IRS tiene una lista de muestra de personas a quienes notificar. La Regla de Salvaguardas (Safeguards Rule) de la FTC, 16 CFR Parte 314, exige un aviso a la FTC. Las leyes estatales pueden exigir otros avisos, entre ellos un aviso a sus clientes.

A quién notifica la firma, según la Publicación 5708

El Anexo C de muestra dice que, si el Coordinador de Seguridad de Datos determina que se robó o se perdió información personal, la firma notifica a los grupos de abajo. La firma describe el robo o la pérdida en detalle y trabaja con las autoridades.

• El enlace con las partes interesadas del IRS (Stakeholder Liaison), que coordina a las divisiones del IRS y a otras agencias en caso de una brecha de datos en la oficina de un profesional de impuestos.
• La oficina del Fiscal General del estado.
• Las agencias de impuestos del estado. La publicación remite a un recurso con información por estado llamado "Report a Breach" (traducción nuestra: «Reportar una brecha»).
• El Centro de Quejas de Delitos en Internet del FBI (Internet Crime Complaint Center), si es un delito cibernético con robo de datos electrónicos.
• La Comisión Federal de Comercio (FTC), conforme a la Regla de Salvaguardas.
• La policía local, el proveedor de su software de impuestos, su aseguradora de responsabilidad civil y su asesor legal.
• Las víctimas, en la medida en que lo exijan las leyes reglamentarias y las buenas prácticas comerciales.

Este es un anexo de muestra, así que la lista en sí es una sugerencia. Algunos puntos de la lista aun así pueden ser obligaciones legales: el aviso a la FTC que sigue más abajo, y cualquier aviso a clientes o a un estado que exija la ley de brechas de su estado. La Publicación 5708 también nombra un "IRS Data Theft Reporting Process" (traducción nuestra: «Proceso del IRS para reportar robo de datos») entre sus recursos. Para esta guía no leímos esa página ni ninguna ley estatal.

El aviso a la FTC que exige la regla

Si un evento de notificación involucra la información de al menos 500 consumidores, usted debe avisar a la FTC lo antes posible y a más tardar 30 días después del descubrimiento. Lo hace por vía electrónica, en un formulario del sitio web de la FTC. El aviso incluye:

• su nombre y su información de contacto;
• los tipos de información involucrados;
• la fecha o el rango de fechas, si se puede determinar;
• el número de consumidores afectados o potencialmente afectados;
• una descripción general del evento; y
• si un funcionario encargado de hacer cumplir la ley le entregó una determinación por escrito de que avisar al público obstaculizaría una investigación criminal o dañaría la seguridad nacional, y cómo puede comunicarse la FTC con ese funcionario.

Un evento se considera descubierto el primer día en que usted lo conoce. Se considera que usted lo conoce si lo conoce cualquier empleado, funcionario u otro agente, que no sea la persona que cometió la brecha.

Un evento de notificación es la adquisición de información de clientes sin cifrar, sin la autorización de la persona a quien se refiere. La información cuenta como sin cifrar si una persona no autorizada tuvo acceso a la clave. Se presume que el acceso no autorizado incluye la adquisición, a menos que usted tenga pruebas confiables de que la adquisición no ocurrió o no pudo haber ocurrido razonablemente.

Esta obligación entró en vigor el 13 de mayo de 2024. La sección 314.6 no la exime, así que se aplica a una oficina pequeña cuyo evento involucre a 500 consumidores o más.

Más sobre qué cuenta como evento de notificación y qué contiene el aviso: ¿Los preparadores de impuestos tienen que avisar a la FTC de una brecha de datos?

Una revisión que sugiere la Publicación 5708

Revise el informe de actividad del EFIN en IRS e-Services para ver si hay más declaraciones que las que usted transmitió. Busque declaraciones enviadas a horas poco comunes, como de noche o en fin de semana, o un lunes o martes por la mañana. La publicación dice que un ladrón por lo general roba los datos durante un fin de semana y transmite declaraciones modificadas justo después.

Prepárese antes de que ocurra

La Publicación 5709 dice que el IRS recomienda un plan de respuesta a robo de datos que incluya comunicarse con su enlace con las partes interesadas del IRS. La Publicación 5708 dice que un plan debería enumerar los pasos para volver a asegurar sus dispositivos, datos, contraseñas y redes, y quién los toma. La regla exige un plan escrito de respuesta a incidentes para las oficinas con 5,000 consumidores o más. Vea la guía de la Regla de Salvaguardas para el resto de la regla.

Fuentes

• 16 CFR 314.2, 314.3, 314.4, 314.5, 314.6 (eCFR, 2026-10-01): ecfr.gov, Parte 314
• Publicación 5708 del IRS (Rev. 8-2024): irs.gov/pub/irs-pdf/p5708.pdf
• Publicación 5709 del IRS (Rev. 5-2024): irs.gov/pub/irs-pdf/p5709.pdf

Esta es información general, no asesoría legal.