GOBIERNO de Puerto Rico

20ma. Asamblea 3ra. Sesión

Legislativa Ordinaria

Cámara DE REPRESENTANTES

P. de la C. 1061

19 de ENERO de 2026

Presentado por los representantes Nieves Rosario y Jiménez Torres

Referido a la Comisión de lo Jurídico

LEY

Para crear la "Ley de Protección de Datos de Salud y Privacidad Infantil en Línea de Puerto Rico"; establecer prohibiciones estrictas sobre el uso de geocercas (geofencing) alrededor de instalaciones de salud para la recopilación de datos o publicidad dirigida; ordenar configuraciones de privacidad predeterminadas de alto nivel para usuarios menores de dieciocho (18) años; prohibir la recopilación de datos de geolocalización precisa de menores sin consentimiento parental verificable; imponer penalidades; y para otros fines relacionados.

EXPOSICIÓN DE MOTIVOS

La transformación digital ha redefinido la manera en que los ciudadanos interactúan con servicios esenciales y plataformas de entretenimiento. Si bien la tecnología ofrece beneficios innegables, también ha creado vulnerabilidades sin precedentes respecto a la privacidad de los datos personales. Más allá de la protección de datos generales, existe una creciente preocupación global sobre dos áreas críticas: la confidencialidad de la información de salud y la seguridad de los menores de edad en el entorno digital.

Estados de vanguardia como Washington, a través de su My Health My Data Act, así como Connecticut y Maryland, han comenzado a legislar para cerrar brechas que las leyes federales actuales no cubren en su totalidad. En Puerto Rico, es imperativo adoptar estas mejores prácticas para proteger a nuestros ciudadanos más vulnerables.

En el ámbito de la salud, la tecnología de "geocercas" o geofencing permite a las empresas crear perímetros virtuales alrededor de ubicaciones físicas específicas. Actualmente, es posible rastrear a una persona que entra a una clínica de salud reproductiva, un centro de tratamiento de adicciones o una sala de emergencia, y utilizar esa inferencia para enviar publicidad dirigida o vender esos datos a terceros. Esta práctica no solo invade la intimidad médica del paciente, sino que puede exponerlo a discriminación o acoso. Es política pública de este Gobierno garantizar que la búsqueda de atención médica sea un acto privado y libre de vigilancia digital comercial.

Por otro lado, los menores de edad carecen a menudo de la madurez para comprender las implicaciones de ceder sus datos. Las plataformas digitales suelen estar diseñadas para maximizar la recolección de información, incluyendo la ubicación física precisa. Permitir que aplicaciones rastreen los movimientos de un niño o adolescente sin el conocimiento explícito de sus padres representa un riesgo de seguridad física y psicológica. Por tanto, se hace necesario invertir la carga de la responsabilidad: las plataformas deben ofrecer la máxima privacidad por defecto (privacy by default) cuando el usuario es un menor, en lugar de obligar al menor a navegar configuraciones complejas para protegerse.

Esta Asamblea Legislativa entiende que la privacidad de los datos de salud y la seguridad digital de nuestros niños no son mercancías, sino derechos fundamentales que requieren una protección estatutaria robusta y moderna.

DECRÉTASE POR LA ASAMBLEA LEGISLATIVA DE PUERTO RICO:

Artículo 1.- Título. Esta Ley se conocerá y podrá ser citada como la "Ley de Protección de Datos de Salud y Privacidad Infantil en Línea de Puerto Rico".

Artículo 2.- Definiciones. Para fines de esta Ley, los siguientes términos tendrán el significado que a continuación se expresa:

1. Datos de Salud del Consumidor: Información personal que está vinculada o es razonablemente vinculable a un consumidor y que identifica su salud física o mental pasada, presente o futura, incluyendo cualquier condición médica, diagnóstico, o tratamiento.
2. Geocerca (Geofencing): Tecnología que utiliza coordenadas de posicionamiento global, triangulación de torres celulares, Wi-Fi u otros datos celulares para establecer un límite virtual alrededor de una ubicación geográfica específica.
3. Instalación de Salud: Cualquier entidad física que brinde servicios de atención médica, incluyendo, pero no limitado a: hospitales, clínicas, consultorios médicos, centros de salud mental, centros de salud reproductiva y farmacias.
4. Menor: Cualquier persona natural menor de dieciocho (18) años de edad.
5. Geolocalización Precisa: Datos derivados de un dispositivo que pueden identificar la ubicación física de un individuo con una precisión dentro de un radio de 1,750 pies.

Artículo 3.- Prohibición de Geocercas en Instalaciones de Salud.

Se prohíbe a cualquier persona, entidad o controlador de datos implementar una geocerca alrededor de cualquier instalación de salud en Puerto Rico para los siguientes fines: (a) Identificar o rastrear a un consumidor que busca servicios de salud; (b) Recopilar datos de salud del consumidor basados en su ubicación física; o (c) Enviar notificaciones, mensajes o publicidad dirigida a un consumidor cuando este ingrese, permanezca o salga de dicha geocerca, basándose en la inferencia de que el consumidor está recibiendo servicios de salud.

Artículo 4.- Protección de Privacidad para Menores.

Cualquier entidad que ofrezca servicios en línea, productos o funciones que puedan ser accedidos por menores deberá cumplir con las siguientes obligaciones: (a) Configuración de Privacidad por Defecto: Deberá configurar los ajustes de privacidad al nivel más alto y restrictivo disponible de manera predeterminada para cualquier usuario que la entidad sepa, o tenga razones para saber, que es menor de dieciocho (18) años. (b) Prohibición de Geolocalización sin Consentimiento: Queda prohibida la recopilación, procesamiento o venta de datos de geolocalización precisa de un menor, a menos que sea estrictamente necesario para la prestación del servicio solicitado y se haya obtenido previamente el consentimiento explícito y verificable de los padres o tutores legales. (c) Perfilamiento: Se prohíbe el uso de datos personales de menores para fines de publicidad conductual o perfilamiento (profiling) automatizado.

Artículo 5.- Fiscalización y Penalidades. El Departamento de Asuntos del Consumidor (DACO) será la agencia encargada de la fiscalización y cumplimiento de esta Ley. (a) Multas: El incumplimiento de las disposiciones de esta Ley conllevará una multa administrativa no menor de cinco mil dólares ($5,000) ni mayor de veinte mil dólares ($20,000) por cada violación detectada. (b) Derecho de Acción: Nada en esta Ley impedirá que un ciudadano afectado inicie una acción civil por daños y perjuicios contra la entidad infractora.

Artículo 6.- Reglamentación.

El Secretario del Departamento de Asuntos del Consumidor (DACO), en consulta con el Puerto Rico Innovation and Technology Service (PRITS), deberá adoptar y promulgar los reglamentos necesarios para la administración efectiva de esta Ley dentro de un término no mayor de noventa (90) días a partir de su aprobación.

Artículo 7.- Cláusula de Separabilidad.

Si alguna cláusula, párrafo, artículo, o parte de esta Ley fuera declarada nula o inconstitucional por un tribunal con jurisdicción competente, tal sentencia o resolución dictada al efecto, no invalidará las demás disposiciones de esta Ley.

Artículo 8.- Vigencia. Esta Ley comenzará a regir ciento ochenta (180) días después de su aprobación, a los fines de permitir a las entidades y controladores de datos realizar los ajustes técnicos necesarios para su cumplimiento.