GOBIERNO DE PUERTO RICO
20ma. Asamblea 4ta. Sesión
Legislativa Ordinaria
CÁMARA DE REPRESENTANTES
P. de la C. 1061
INFORME NEGATIVO
14 de octubre de 2026
A LA CÁMARA DE REPRESENTANTES DE PUERTO RICO:
Previa consideración y evaluación del Proyecto de la Cámara 1061 (P. de la C. 1061), la Comisión de lo Jurídico de la Cámara de Representantes de Puerto Rico recomienda que el P. de la C. 1061 no sea aprobado en su forma actual.
ALCANCE DE LA MEDIDA
El P. de la C. 1061 propone crear la “Ley de Protección de Datos de Salud y Privacidad Infantil en Línea de Puerto Rico”. Dicha ley, tiene el propósito de proteger la confidencialidad de la información de salud de los consumidores, así como también, la privacidad de los menores de edad en el entorno digital.
En el área de la salud, el Artículo 3 de la ley propuesta prohíbe a cualquier persona, entidad o controlador de datos poner una geocerca alrededor de cualquier instalación de salud en Puerto Rico para tres propósitos. El primero es identificar o rastrear a un consumidor que busca servicios de salud. El segundo es recoger sus datos de salud a partir de su ubicación física. El tercero es enviarle notificaciones, mensajes o publicidad dirigida cuando entra, permanece o sale de la geocerca, partiendo de la idea de que recibe servicios de salud. Para estos fines, el Artículo 2 define la geocerca como la tecnología que usa coordenadas de posicionamiento global, triangulación de torres celulares, Wi-Fi u otros datos celulares para crear un límite virtual alrededor de una ubicación geográfica específica. Los datos de salud del consumidor son la información personal que está vinculada o puede estar vinculada a un consumidor y que identifica su salud física o mental pasada, presente o futura, como cualquier condición médica, diagnóstico o tratamiento. La instalación de salud es cualquier lugar físico que ofrece servicios de atención médica, como hospitales, clínicas, consultorios médicos, centros de salud mental, centros de salud reproductiva y farmacias.
En el caso de los menores de edad, definidos por la medida como cualquier persona natural menor de dieciocho (18) años, el Artículo 4 impone tres obligaciones a toda entidad que ofrece servicios en línea, productos o funciones que puedan ser usados por menores. Primero, debe configurar de manera predeterminada los ajustes de privacidad al nivel más alto y restrictivo para cualquier usuario del que la entidad sepa, o tenga razones para saber, que es menor de edad. Segundo, no puede recopilar, procesar ni vender datos de geolocalización precisa de un menor, salvo que sea estrictamente necesario para dar el servicio solicitado y que se haya obtenido antes el consentimiento explícito y verificable de los padres o tutores legales. Tercero, no puede usar los datos personales de los menores para publicidad conductual ni para perfilamiento automatizado. La geolocalización precisa, según la medida, abarca los datos que salen de un dispositivo y pueden mostrar la ubicación física de una persona dentro de un radio de 1,750 pies.
Para asegurar su cumplimiento, el Artículo 5 designa al Departamento de Asuntos del Consumidor (DACO) como la agencia encargada de la fiscalización. También establece multas administrativas de no menos de cinco mil dólares ($5,000) ni más de veinte mil dólares ($20,000) por cada violación detectada. Ese mismo artículo aclara que nada en la ley impedirá que un ciudadano afectado presente una acción civil por daños y perjuicios contra la entidad infractora. Además, el Artículo 6 ordena al Secretario del DACO que, en consulta con el Puerto Rico Innovation and Technology Service (PRITS), adopte los reglamentos necesarios dentro de un plazo no mayor de noventa (90) días a partir de la aprobación de la ley. Por último, el Artículo 8 dispone que la ley comenzará a regir ciento ochenta (180) días después de su aprobación.
TRASFONDO
La Exposición de Motivos del P. de la C. 1061 parte de la premisa de que la transformación digital, aunque ofrece beneficios innegables, ha creado nuevas vulnerabilidades en cuanto a la privacidad de los datos personales. Entre ellas, la medida destaca dos áreas críticas: la confidencialidad de la información de salud y la seguridad de los menores de edad en el entorno digital. Según la Exposición de Motivos, estados como Washington, con su My Health My Data Act, así como Connecticut y Maryland, han comenzado a legislar para cerrar brechas que las leyes federales no cubren por completo. A juicio de la medida, resulta imperativo que Puerto Rico adopte esas mejores prácticas para proteger a sus ciudadanos más vulnerables.
En el campo de la salud, la medida indica que las geocercas permiten a las empresas crear fronteras virtuales alrededor de lugares físicos específicos. Así, advierte, es posible seguir a una persona que entra a una clínica de salud reproductiva, a un centro de tratamiento de adicciones o a una sala de emergencia. También se puede usar esa información para enviarle publicidad dirigida o vender sus datos a otros. Según la medida, esta práctica invade la privacidad médica del paciente y puede exponerlo a discriminación o acoso. Por eso declara como política pública asegurar que buscar atención médica sea un acto privado y sin vigilancia digital comercial.
En cuanto a los menores de dieciocho (18) años de edad, la Exposición de Motivos indica que a menudo no tienen la madurez para entender lo que implica proveer sus datos. Las plataformas digitales suelen estar hechas para sacar la mayor cantidad de información posible, incluida la ubicación física exacta de la persona. Permitir que las aplicaciones sigan los movimientos de un niño o adolescente sin que sus padres lo sepan, según la medida, pone en peligro su seguridad física y psicológica. Por eso, propone que la responsabilidad de proteger la privacidad del menor pase del propio menor, a las plataformas. Las plataformas deben dar la máxima privacidad por defecto, (privacy by default) cuando el usuario es menor. No deben forzar al menor a buscar configuraciones complicadas para protegerse. En resumen, la medida ve la privacidad de los datos de salud y la seguridad digital de los niños como derechos fundamentales y no como mercancía, por lo que necesitan una protección legal fuerte y actual.
En Puerto Rico, la Ley Núm. 185-2024, conocida como “Ley para la Protección de la Privacidad Cibernética de los Niños y Jóvenes”, ya impone obligaciones a las páginas y aplicaciones de Internet de redes sociales respecto a la información personal de sus usuarios menores de edad. Esa ley confiere al Negociado de Telecomunicaciones de Puerto Rico (NET) jurisdicción primaria para atender las querellas que surjan bajo dicha ley.[1]
COMENTARIOS SOBRE LA MEDIDA
Esta Comisión de lo Jurídico solicitó los comentarios del Departamento de Salud, el Departamento de Asuntos del Consumidor, el Puerto Rico Innovation and Technology Service y el Negociado de Telecomunicaciones. Al momento de la redacción de este informe no se había recibido la posición del Negociado de Telecomunicaciones. Así las cosas, procedemos a resumir los puntos más importantes que fueron evaluados por esta Comisión.
DEPARTAMENTO DE ASUNTOS DEL CONSUMIDOR
El Departamento de Asuntos del Consumidor (DACO), en su ponencia, recuerda que la Ley Núm. 5 de 23 de abril de 1973, según enmendada, conocida como “Ley Orgánica del Departamento de Asuntos del Consumidor”, le confiere los mecanismos necesarios para defender e implantar los derechos del consumidor. A la luz de ese mandato, ve como positivos los esfuerzos para fortalecer, preservar y ampliar las protecciones para los consumidores y las familias puertorriqueñas. También señala que, durante las últimas décadas, ha aprobado reglamentos que regulan la mayoría de los aspectos que afectan al consumidor en Puerto Rico.
Sin embargo, tras evaluar el P. de la C. 1061, el DACO indica que no puede recomendar la aprobación de la medida tal como está presentada.[2] En primer lugar, señala que la Exposición de Motivos menciona la My Health My Data Act del estado de Washington. Según el Secretario del DACO, esa ley es muy clara sobre la conducta que prohíbe. También incluye excepciones y reglas específicas para evitar problemas con la ley federal Health Insurance Portability and Accountability Act, conocida como HIPAA. Según el DACO, el P. de la C. 1061 no tiene artículos tan claros ni detallados, ni incluye excepciones como el consentimiento del consumidor. Por eso, sugiere hacer los cambios necesarios para que, si se convierte en ley, no sea vaga ni demasiado amplia.
En segundo lugar, el DACO sostiene que la entidad gubernamental con jurisdicción primaria y “exclusiva” para implantar una legislación como esta es el NET, en virtud de la Ley Núm. 213-1996, según enmendada, conocida como “Ley de Telecomunicaciones de Puerto Rico de 1996”. Recalca que el NET tiene jurisdicción exclusiva para ejecutar las disposiciones de la Ley Núm. 185-2024 y que el DACO solo tiene facultad para referirle las actuaciones indebidas de las plataformas digitales.
Por último, el DACO señala que, aunque su Ley Orgánica le permite imponer multas, el máximo que autoriza su Artículo 18 es de diez mil dólares ($10,000). En cambio, el NET puede imponer multas de hasta veinticinco mil dólares ($25,000). El DACO termina reiterando su disposición de colaborar con la Comisión en la defensa y protección de los consumidores.
PUERTO RICO INNOVATION AND TECHNOLOGY SERVICE
La Puerto Rico Innovation and Technology Service (PRITS) reconoce la loable intención de la medida de atender las realidades del entorno digital y los riesgos que conlleva el manejo de datos personales sensibles. Después de explicar su marco legal, que incluye la Ley Núm. 75-2019, según enmendada, conocida como “Ley de la Puerto Rico Innovation and Technology Service”, y la Ley Núm. 40-2024, conocida como “Ley de Ciberseguridad del Estado Libre Asociado de Puerto Rico”, repasa la legislación vigente sobre privacidad de datos.
En ese repaso, PRITS explica que la Ley Núm. 111-2005, según enmendada, conocida como “Ley de Información al Ciudadano sobre la Seguridad de Bancos de Información”, que administra el DACO, establece un esquema de notificación obligatoria cuando ocurre una violación de la seguridad de un sistema que contiene información personal de ciudadanos residentes en Puerto Rico. Es decir, esa ley opera después del incidente y no prohíbe prácticas de recopilación de datos ni regula el uso de la geolocalización o de las geocercas con fines comerciales. Añade que la Ley Núm. 39-2012, conocida como “Ley de Notificación de Política de Privacidad”, también administrada por el DACO, impone deberes de transparencia a los operadores de páginas de Internet. Sin embargo, esa ley no prohíbe la recopilación, el uso o la venta de información personal ni regula específicamente la geolocalización precisa o la información de salud inferida mediante tecnologías digitales.
PRITS dedica especial atención a la Ley Núm. 185-2024, cuyo Artículo 4 reproduce íntegramente. Explica que esta ley prohíbe divulgar la información personal de los menores sin el consentimiento de sus padres, limita su almacenamiento, venta o intercambio, y restringe el perfilamiento automatizado. También prohíbe almacenar, vender o compartir la geolocalización precisa de un menor, salvo cuando sea razonablemente necesaria para prestar el servicio. Sin embargo, PRITS distingue ambos esquemas. La Ley Núm. 185-2024 se limita a las páginas y aplicaciones de redes sociales y a lo que ocurre en la interacción del usuario con la plataforma. El P. de la C. 1061, en cambio, regula la recopilación y la inferencia de datos a partir de la ubicación física de las personas, independientemente de que exista una cuenta o se utilice una red social.
A la luz de ese marco, PRITS concluye que el manejo de los datos de los consumidores que busca regular la medida, incluidos los de los menores, recae principalmente bajo la jurisdicción del DACO. En el caso específico de la información personal de menores en las redes sociales, añade que la jurisdicción corresponde al NET. Por eso, recomienda que la Comisión obtenga el insumo de ambas agencias para examinar si los asuntos que atiende el P. de la C. 1061 deben añadirse con enmiendas a los estatutos vigentes, incluida la Ley Núm. 185-2024, o con una ley especial aparte. También sugiere que, si la Comisión decide aprobar la medida, evalúe cambiar la referencia al PRITS por el NET, o incluir a este, en el proceso de desarrollar la reglamentación, por la experiencia que ha desarrollado bajo la Ley Núm. 185-2024.
En su conclusión, PRITS avala el P. de la C. 1061 “en cuanto reconoce la necesidad de atender prácticas específicas relacionadas con el uso y tratamiento de datos personales en el entorno digital”.[3] Reconoce, además, que la medida identifica supuestos que no están regulados en el ordenamiento vigente. No obstante, estima indispensable que la Comisión reciba el insumo formal del DACO y del NET para delimitar claramente las jurisdicciones aplicables, armonizar el marco regulatorio y asegurar una implantación efectiva de la política pública propuesta.
DEPARTAMENTO DE SALUD
El Departamento de Salud comienza exponiendo que tiene la responsabilidad constitucional y legal de cuidar la salud del pueblo de Puerto Rico. Luego explica que la medida busca establecer un marco legal sólido y actualizado para proteger dos áreas muy sensibles en el entorno digital: la información de salud de los consumidores y la privacidad de los menores en las plataformas y servicios en línea. Según el Departamento, la medida establece que la privacidad de los datos de salud y la seguridad digital de los menores no deben considerarse activos comerciales. Añade, además, que son derechos que requieren una protección específica por ley.
A juicio del Departamento, la prohibición de usar geocercas alrededor de las instalaciones de salud responde a una práctica que, aunque es legal en muchos contextos, resulta muy invasiva cuando se usa para inferir condiciones médicas, tratamientos o decisiones de salud. Por eso, la medida evita que la simple visita a una instalación de salud se convierta en una fuente de datos que se puedan explotar con fines comerciales. Además, extiende el principio de confidencialidad del acto médico al mundo digital. El Departamento también valora la privacidad por defecto (privacy by default) para los usuarios menores de dieciocho (18) años. Prohíbe recopilar su geolocalización precisa, salvo en situaciones estrictamente necesarias y con el consentimiento parental verificable. También prohíbe el perfilamiento y la publicidad conductual dirigidos a menores.
En cuanto a la fiscalización, el Departamento destaca que la medida le da al DACO la tarea de supervisar y hacer cumplir la ley. También dice que las multas administrativas propuestas, que van de cinco mil dólares ($5,000) a veinte mil dólares ($20,000) por cada infracción, buscan ser un freno o un disuasivo real para que no se cometa la conducta sancionada. Además, señala que el reconocimiento claro de una causa de acción civil facilita el acceso de las personas a los remedios legales. Aun así, recomienda consultar la medida con el DACO, ya que sería la agencia responsable de ponerla en marcha, y dice que respeta la postura que esta agencia presente.
Por otro lado, el Departamento señala que la ley federal HIPAA y sus normas de privacidad y seguridad permiten a los estados promulgar leyes sobre el manejo de la información de salud, siempre que establezcan reglas más estrictas en materia de confidencialidad, privacidad y seguridad. Desde el punto de vista de la salud pública, se advierte que la Internet es un entorno clave para el desarrollo de niños y jóvenes. Ellos no siempre tienen la madurez para enfrentar adecuadamente sus influencias. Por eso, considera necesario implementar salvaguardas que les ayuden a crecer en entornos digitales más seguros. Por lo tanto, concluye que la medida trata adecuadamente el uso de las tecnologías de geolocalización y el manejo de datos sensibles, reconoce sus méritos y apoya el P. de la C. 1061.
ANÁLISIS DE LA MEDIDA
Después de revisar cuidadosamente los comentarios recibidos, esta Comisión de lo Jurídico reconoce que el P. de la C. 1061 persigue un fin legítimo. Su meta es proteger la información de salud de los consumidores contra el rastreo por geocercas y mejorar la privacidad de los menores en el mundo digital. Las tres entidades que participaron valoran ese objetivo. Sin embargo, los memoriales y el texto mismo de la medida muestran problemas de diseño que se deben atender antes de su consideración final. Entre ellos están la agencia que vigilaría el cumplimiento, su relación con la ley actual y la claridad de sus prohibiciones.
En primer lugar, a esta Comisión le preocupa la designación de la agencia que supervisará la ley. El Artículo 5 encarga al DACO la fiscalización de la ley. Sin embargo, el mismo DACO señala que la jurisdicción para aplicar una ley como esta corresponde al NET y que su función solo es referirle las acciones indebidas de las plataformas digitales. Por otro lado, PRITS entiende que el manejo de los datos de los consumidores recae principalmente en el DACO y que la información de los menores en las redes sociales corresponde al NET. El Departamento de Salud apoya la medida, aunque indica que respeta la postura que presente el DACO. Ante estas diferencias, esta Comisión nota que la medida regula dos temas distintos: las prácticas comerciales basadas en la ubicación de los consumidores en su Artículo 3 y la privacidad de los menores en línea en su Artículo 4, sin que la medida distinga qué agencia atendería cada uno. Señalamos, además, que la posición del NET resulta indispensable para delimitar las jurisdicciones aplicables. Por ello, esta Comisión no puede recomendar un esquema en el que no pueda identificarse claramente qué entidad es la responsable de aplicar la ley.
En segundo lugar, la medida debe armonizarse con la Ley Núm. 185-2024, que su Exposición de Motivos no menciona. Como explica PRITS, esa ley ya regula la información personal de los menores en las redes sociales, incluida su geolocalización precisa, mientras que el P. de la C. 1061 alcanza, además, prácticas que ocurren fuera de esas plataformas. Si ambos regímenes coexisten sin una delimitación clara, una misma conducta podría quedar sujeta a normas distintas. Así, el Artículo 4(e) de la Ley Núm. 185-2024 solo permite almacenar, vender o compartir la geolocalización precisa de un menor cuando sea razonablemente necesaria para proveer el servicio. En cambio, el Artículo 4(b) de la medida solo permitiría recopilarla, procesarla o venderla cuando sea estrictamente necesario y, además, se haya obtenido previamente el consentimiento explícito y verificable de los padres o tutores. A ello se suma que cada ley tendría su propia agencia fiscalizadora y sus propias multas. Por ello, esta Comisión coincide con PRITS en que debe examinarse si los supuestos de la medida se incorporan mediante enmiendas a la Ley Núm. 185-2024 o mediante una ley especial que delimite expresamente su relación con aquella.
En tercer lugar, esta Comisión acepta lo que señala el DACO sobre la necesidad de ser más precisos en la medida. Según el DACO, la My Health My Data Act que menciona la Exposición de Motivos describe claramente la conducta prohibida y tiene excepciones, como el consentimiento, y medidas de protección ante posibles conflictos con la Ley HIPAA. El texto del P. de la C. 1061 confirma que esa preocupación tiene fundamento. La My Health My Data Act solo permite recopilar datos de salud de un consumidor con su consentimiento para un propósito específico, o en la medida en que sea necesario para prestarle el producto o servicio que solicitó.[4] La medida legislativa propuesta no contiene una regla equivalente, pues solo exige el consentimiento de los padres para la geolocalización precisa de los menores, en su Artículo 4(b). Además, no menciona la Ley HIPAA. El Artículo 2 tampoco define términos que demarcan su alcance, como “consumidor”, “entidad” y “controlador de datos”. Por otro lado, el Artículo 4 aplica a toda entidad cuyos servicios, productos o funciones en línea puedan ser usados por menores, un criterio muy amplio que la medida no limita.
Aunque el Departamento de Salud advierte que la Ley HIPAA permite a los estados adoptar protecciones más estrictas, esto no exime a la medida de definir con claridad qué conducta prohíbe, a quién le aplica y cuáles son sus excepciones. Una prohibición redactada en términos amplios o imprecisos podría resultar vaga o excesivamente abarcadora y exponerse a impugnaciones, lo que frustraría el propósito protector que inspira la medida.
En cuarto lugar, el régimen de multas debe coincidir con las facultades de la agencia que finalmente se designe. El Artículo 5 establece multas de entre cinco mil dólares ($5,000) y veinte mil dólares ($20,000) por cada violación detectada. Sin embargo, no indica el procedimiento para imponerlas. Por otro lado, el DACO informa que su Ley Orgánica le permite imponer multas de hasta diez mil dólares ($10,000). Por su parte, el NET puede imponer multas de hasta veinticinco mil dólares ($25,000). Es necesario aclarar en el propio texto de la medida la facultad para imponer estas multas, el procedimiento aplicable y su relación con las que ya dispone la legislación vigente.
En resumen, esta Comisión concluye que el P. de la C. 1061 responde a una preocupación real y actual. Sus objetivos merecen ser incluidos en nuestro sistema legal. Sin embargo, se debe definir con claridad la agencia o las agencias que harán cumplir la ley. Se recomienda que la medida se ajuste a la Ley Núm. 185-2024 y que se precisen sus definiciones, prohibiciones, excepciones y penalidades. Con esas enmiendas, la medida podría ser una herramienta útil para proteger la intimidad de los pacientes y la seguridad de los menores en el entorno digital.
CONCLUSIÓN
Por los fundamentos expuestos, la Comisión de lo Jurídico recomienda que el P. de la C. 1061 no se apruebe en su forma actual.
Respetuosamente sometido,
Hon. José J. Pérez Cordero
Presidente
Comisión de lo Jurídico
Documento oficial de SUTRA convertido a texto para facilitar la lectura. El formato puede variar respecto al original; para la versión exacta usa “Descargar original”.