La regla de salvaguardas de la FTC para preparadores de impuestos: una lista de verificación en lenguaje claro

    Última verificación: 1 de noviembre de 2026

    Si preparas declaraciones por una tarifa, manejas algunos de los datos más sensibles que tiene una persona: números de Seguro Social, cuentas bancarias, ingresos. Las normas federales dicen que debes protegerlos con un plan escrito, y el IRS espera que los profesionales de impuestos tengan uno. Esto es lo que significa, sin jerga legal.

    Por qué te aplica

    La regla de salvaguardas de la FTC (Safeguards Rule), emitida bajo la ley Gramm-Leach-Bliley, se aplica a las "instituciones financieras", y el IRS considera cubiertos a los preparadores profesionales de impuestos. La obligación legal viene de esa regla; la Publicación 4557 del IRS (Safeguarding Taxpayer Data) explica cómo pueden cumplirla los profesionales de impuestos, y la Publicación 5708 ofrece una plantilla de Plan Escrito de Seguridad de la Información (WISP) que puedes completar.

    Qué pide la regla

    En términos sencillos, el resumen de la propia FTC enumera estos elementos:

    • Un Individuo Calificado que dirija y supervise tu programa de seguridad. Si trabajas solo, eres tú.
    • Una evaluación de riesgos por escrito sobre cómo podrían exponerse los datos de los clientes, revisada periódicamente.
    • Cifrado de la información de los clientes en tus sistemas y mientras viaja. Si no es viable, un control alternativo aprobado por tu Individuo Calificado.
    • Autenticación multifactor (al menos dos de: algo que sabes, algo que tienes, algo que eres) para cualquiera que acceda a tus sistemas.
    • Un plan escrito de respuesta a incidentes: quién hace qué, a quién se avisa, cómo te recuperas y qué documentas.
    • Pruebas: monitoreo continuo, o una prueba de penetración anual más análisis de vulnerabilidades cada seis meses, y pruebas después de cambios importantes.
    • Capacitación para ti y tu personal, con repasos periódicos.
    • Supervisión de proveedores que tocan datos de clientes: elegir proveedores capaces, fijar expectativas de seguridad en el contrato y revisarlos periódicamente.
    • Un informe escrito al menos una vez al año del Individuo Calificado al dueño o a la junta.

    La regla también exige avisar a la FTC lo antes posible, y a más tardar 30 días después del descubrimiento, de una brecha en la que se haya obtenido sin autorización información sin cifrar de al menos 500 consumidores. Las firmas pequeñas (la regla usa menos de 5,000 consumidores) están exentas de algunos requisitos de documentación escrita, pero los controles centrales siguen aplicando. Lee el texto de la regla o consulta con tu asesor qué partes te corresponden.

    Una lista para empezar

    • Nombra a tu Individuo Calificado y escribe el nombre en tu plan.
    • Haz una lista de todos los lugares donde viven datos de clientes: tu software de impuestos, correo, laptops, teléfonos, almacenamiento en la nube, archivos en papel y tu portal de clientes.
    • Activa el inicio de sesión multifactor en todo lo que lo ofrezca, empezando por el correo y tu software de impuestos.
    • Deja de recibir SSN y documentos de impuestos como archivos adjuntos de correo. Usa un portal cifrado.
    • Cifra laptops y teléfonos y mantenlos actualizados.
    • Escribe qué harás si se pierde un dispositivo o se compromete una cuenta.
    • Completa la plantilla WISP del IRS (Publicación 5708) y revísala cada año.
    • Revisa las condiciones de seguridad de cada proveedor al que le confías datos de clientes.

    Dónde ayuda un portal de clientes

    Sacar la recolección de documentos y las firmas del correo y llevarlas a un portal cifrado cubre varios de los puntos anteriores a la vez. VYAX cifra los campos sensibles, muestra solo los últimos cuatro dígitos del SSN en el día a día y activa por defecto el inicio de sesión de dos factores en las cuentas nuevas de preparadores; los artículos cómo VYAX protege los SSN de los clientes y la autenticación de dos factores para preparadores explican cómo. Un portal ayuda con algunos controles, pero no sustituye tu propio plan escrito, tu evaluación de riesgos ni la capacitación.

    Este artículo es información general, no asesoría fiscal ni legal. Las reglas y la guía del IRS cambian; consulta la regla de la FTC y las publicaciones vigentes del IRS.