Iowa
Lista de Verificación de Cumplimiento de la ICDPA para Empresas (Iowa)
Verificado de forma independiente contra fuentes primarias (última auditoría: 14 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 14 de agosto de 2026. · 8 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
Cumplir con la Ley de Protección de Datos del Consumidor de Iowa (Iowa Code Capítulo 715D) es más sencillo que cumplir con casi cualquier otra ley estatal de privacidad. Una empresa cubierta debe confirmar que cumple con los umbrales de la Sección 715D.2, publicar un aviso de privacidad claro, ofrecer una forma de excluirse de la venta de datos, dar una exclusión de datos sensibles, y firmar contratos con los encargados del tratamiento. La ley entró en vigor el 1 de enero de 2025.
A partir de 2026, el Fiscal General de Iowa aplica la ICDPA de manera exclusiva bajo la Sección 715D.8, con un período de subsanación de 90 días y sanciones de hasta $7,500 por infracción. Iowa no exige evaluaciones de protección de datos ni el respeto de señales universales de exclusión, por lo que la carga de cumplimiento es real pero menor que en Colorado, Connecticut o California.
Alcance jurisdiccional: Esto cubre la Ley de Protección de Datos del Consumidor de Iowa (Iowa Code Capítulo 715D). Es información legal general, no asesoría legal.
Paso 1: Determine si la ICDPA se aplica a usted
La primera tarea es ejecutar la prueba de aplicabilidad de la Sección 715D.2(1). La ICDPA alcanza a una persona que realiza negocios en Iowa, o que produce productos o servicios dirigidos a residentes de Iowa, que durante un año calendario hace una de dos cosas.
Bajo la Sección 715D.2(1)(a), la empresa controla o procesa datos personales de al menos 100,000 consumidores. Bajo la Sección 715D.2(1)(b), controla o procesa datos personales de al menos 25,000 consumidores y obtiene más del 50% de sus ingresos brutos de la venta de datos personales. Una empresa que cumpla con cualquiera de estos dos criterios está cubierta.
Cuente con cuidado. Un "consumidor" bajo la Sección 715D.1 es un residente de Iowa que actúa en un contexto individual o del hogar, y la definición excluye a una persona que actúa en un contexto comercial o laboral. Los contactos entre empresas y sus propios empleados no cuentan para los umbrales.
Iowa no añade un piso de ingresos separado a estos umbrales de datos, por lo que un procesador de gran volumen puede estar cubierto sin importar sus ingresos totales. Si sus cifras se acercan a un umbral, documente su recuento y revíselo cada año calendario.
Paso 2: Revise las exenciones
Aunque supere el umbral, puede estar exento. La Sección 715D.2(2) proporciona exenciones a nivel de entidad para el estado y sus subdivisiones políticas, las instituciones financieras y sus afiliadas sujetas a la Ley Gramm-Leach-Bliley, las personas que cumplen con HIPAA y la Ley HITECH, las organizaciones sin fines de lucro y las instituciones de educación superior.
La Sección 715D.2(3) añade exenciones a nivel de datos. Estas cubren la información de salud protegida y los registros médicos, la información regulada por la Ley Federal de Informe Justo de Crédito bajo el inciso (m), los datos bajo la Ley de Protección de la Privacidad del Conductor bajo el inciso (n), los registros educativos bajo FERPA bajo el inciso (o), y los datos bajo la Ley de Crédito Agrícola bajo el inciso (p).
Los datos laborales y de contacto de emergencia se excluyen bajo la Sección 715D.2(3)(q), y los datos usados de conformidad con la Ley Federal de Protección de la Privacidad Infantil en Línea se excluyen bajo el inciso (r). Compare su inventario de datos con estas exenciones; una entidad que supera el umbral puede aun así descubrir que gran parte de sus datos está exenta.
Documente su análisis. Si el Fiscal General inicia una investigación, un registro claro de por qué una categoría está exenta es lo primero que querrá presentar.
Paso 3: Publique un aviso de privacidad conforme
La Sección 715D.4(5) exige un aviso de privacidad razonablemente accesible, claro y significativo. El aviso debe incluir cinco elementos, y una lista de verificación facilita su seguimiento.
El aviso debe indicar las categorías de datos personales que procesa el controlador, el propósito del procesamiento de esos datos, y cómo los consumidores pueden ejercer sus derechos bajo la Sección 715D.3, incluyendo cómo apelar una decisión del controlador. También debe indicar las categorías de datos personales que el controlador comparte con terceros, si las hay, y las categorías de esos terceros.
Más allá de los cinco elementos requeridos, la Sección 715D.4(6) añade una divulgación condicional: si vende datos personales o realiza publicidad dirigida, debe divulgar esa actividad de manera clara y visible y explicar cómo un consumidor puede excluirse de la venta. Tenga en cuenta que la exclusión que el estatuto vincula aquí es la exclusión de venta; Iowa no crea un derecho separado de exclusión de publicidad dirigida.
Mantenga el aviso actualizado. A medida que cambie su procesamiento, el aviso debe cambiar con él, porque el aviso de privacidad es el documento que el Fiscal General leerá primero.
Paso 4: Establezca la exclusión de venta y la exclusión de datos sensibles
Dos mecanismos de exclusión están en el centro del cumplimiento de la ICDPA. El primero es la exclusión de la venta de datos personales bajo la Sección 715D.3(1)(d). Debe proporcionar un método claro para que un habitante de Iowa se excluya de que sus datos personales sean vendidos, y divulgar ese método bajo la Sección 715D.4(6).
Una "venta" se define de manera restringida en la Sección 715D.1 como el intercambio de datos personales por contraprestación monetaria a un tercero, con varias exclusiones, como las divulgaciones a encargados y afiliados. Si nunca intercambia datos por dinero, es posible que no esté vendiendo bajo la ICDPA, pero debe documentar esa conclusión.
El segundo mecanismo es la exclusión de datos sensibles bajo la Sección 715D.4(2). Antes de procesar datos sensibles para un propósito no exento, debe presentar al consumidor un aviso claro y una oportunidad de exclusión. Para un niño identificado, debe cumplir en cambio con la Ley Federal de Protección de la Privacidad Infantil en Línea.
Es importante destacar que Iowa no exige que respete una señal universal de exclusión como el Control de Privacidad Global, y no exige evaluaciones de protección de datos. Ambas obligaciones existen en varios otros estados, pero están ausentes en la ICDPA, lo que representa la razón más importante por la que la carga de cumplimiento de Iowa es más ligera.
Paso 5: Establezca contratos con los encargados del tratamiento
Si utiliza proveedores para procesar datos personales en su nombre, la Sección 715D.5(2) exige un contrato escrito que rija el procesamiento. Este es un requisito estricto, no una mejor práctica.
El contrato debe establecer las instrucciones de procesamiento, la naturaleza y el propósito del procesamiento, el tipo de datos, la duración, y los derechos y deberes de ambas partes. También debe exigir al encargado que garantice que cada persona que procesa datos esté bajo un deber de confidencialidad, que elimine o devuelva los datos al finalizar la relación según las instrucciones del controlador, que ponga a disposición la información necesaria para demostrar el cumplimiento, y que traspase estos deberes a cualquier subcontratista mediante un contrato escrito.
Los encargados tienen sus propios deberes bajo la Sección 715D.5(1), incluyendo ayudar al controlador con las solicitudes de derechos del consumidor y con las obligaciones de seguridad y notificación de brechas bajo la Sección 715C.2. Revise los acuerdos existentes con proveedores y añada un anexo de procesamiento de datos donde falte uno.
Paso 6: Establezca el flujo de trabajo de solicitud, respuesta y apelación
Operativamente, necesita un proceso que cumpla con los plazos de la Sección 715D.3. Bajo la Sección 715D.4(7), debe establecer medios seguros y confiables para que los consumidores presenten solicitudes, y no puede exigir a un consumidor crear una nueva cuenta para hacerlo.
Una vez que autentique una solicitud, debe responder dentro de los 90 días bajo la Sección 715D.3(2)(a), con una extensión opcional de 45 días cuando sea razonablemente necesario. Las respuestas son gratuitas hasta dos veces al año por consumidor bajo la Sección 715D.3(2)(c). Establezca la autenticación, el seguimiento y un calendario que marque el plazo de 90 días.
También necesita un proceso de apelación bajo la Sección 715D.3(3). Debe estar disponible de manera visible, debe producir una decisión escrita dentro de los 60 días y, si se deniega la apelación, debe darle al consumidor un mecanismo en línea para contactar al Fiscal General. Documente cada paso, porque el registro de apelación forma parte de su postura de cumplimiento.
Aplicación, la Subsanación de 90 Días y las Sanciones
La ICDPA es aplicada únicamente por el Fiscal General de Iowa. La Sección 715D.8(1) otorga autoridad exclusiva de aplicación y el poder de emitir una solicitud de investigación civil por causa razonable.
El período de subsanación es generoso. Bajo la Sección 715D.8(2), el Fiscal General debe darle a un controlador o encargado un aviso escrito de 90 días que identifique las disposiciones específicas presuntamente infringidas. Si la empresa subsana la infracción dentro de ese plazo y proporciona una declaración escrita de que las infracciones han sido subsanadas y no volverán a ocurrir, no se puede iniciar ninguna acción. Esta subsanación de 90 días está entre las más largas de cualquier ley estatal integral de privacidad, y no tiene fecha de vencimiento, por lo que permanece disponible de manera permanente a partir de 2026.
| Elemento de cumplimiento | Requisito de la ICDPA | Sección |
|---|---|---|
| Aviso de privacidad | Requerido, cinco elementos | 715D.4(5) |
| Exclusión de venta | Requerida si vende datos | 715D.3(1)(d), 715D.4(6) |
| Datos sensibles | Aviso más exclusión | 715D.4(2) |
| Evaluación de protección de datos | No requerida | Ninguna |
| Señal universal de exclusión | No requerida | Ninguna |
| Contrato con encargado | Requerido | 715D.5(2) |
| Período de subsanación | 90 días, sin vencimiento | 715D.8(2) |
| Sanción máxima | $7,500 por infracción | 715D.8(3) |
Si una empresa no subsana la infracción o incumple su declaración de subsanación, la Sección 715D.8(3) autoriza una medida cautelar y sanciones civiles de hasta $7,500 por infracción, pagadas al fondo de educación y litigio del consumidor bajo la Sección 714.16C. Dado que la Sección 715D.8(4) prohíbe cualquier derecho de acción privado, el único riesgo de aplicación bajo la ICDPA es una acción del Fiscal General, lo que convierte a la subsanación de 90 días en una válvula de seguridad significativa para las empresas que actúan de buena fe.
Más Leyes de Iowa
- Leyes de Grabación de Reuniones con IA de Iowa
- Leyes de Pensión Alimenticia de Iowa
- Leyes de Empleo a Voluntad de Iowa
- Leyes de Accidentes Automovilísticos de Iowa
- Leyes de Asientos de Seguridad para Niños de Iowa
- Leyes de Custodia de Menores de Iowa
- Leyes de Manutención Infantil de Iowa
- Leyes de Matrimonio de Hecho de Iowa
- Leyes sobre Deepfakes de Iowa
- Leyes de Divorcio de Iowa
- Leyes sobre Mordeduras de Perro de Iowa
- Leyes de Emancipación de Iowa
- Leyes de Eliminación de Antecedentes Penales de Iowa
- Leyes de Atropello y Fuga de Iowa
- Leyes de Propietarios e Inquilinos de Iowa
- Leyes del Limón de Iowa
Guías relacionadas
- Leyes de Privacidad de Datos de Iowa (centro de la ICDPA)
- ¿Qué es la ICDPA? La Ley de Privacidad de Datos de Iowa Explicada
- Derechos del Consumidor Bajo la ICDPA: Lo Que los Habitantes de Iowa Pueden y No Pueden Hacer
- Comparación de Leyes Estatales de Privacidad de EE. UU.
- ¿Qué es la CCPA? La Ley de Privacidad de California Explicada
Preguntas frecuentes
¿Se aplica la ICDPA a mi empresa?
Se aplica si usted realiza negocios en Iowa o se dirige a residentes de Iowa y, durante un año calendario, controla o procesa datos personales de al menos 100,000 consumidores de Iowa, o de al menos 25,000 consumidores mientras obtiene más del 50% de sus ingresos brutos de la venta de datos personales, bajo la Sección 715D.2(1). Los residentes de Iowa que actúan en un contexto comercial o laboral no cuentan como consumidores.
¿Qué debe incluir un aviso de privacidad de la ICDPA?
Bajo la Sección 715D.4(5), el aviso debe indicar las categorías de datos personales que usted procesa, los propósitos del procesamiento, cómo los consumidores pueden ejercer sus derechos y apelar una decisión, las categorías de datos que comparte con terceros, y las categorías de esos terceros. Si vende datos o realiza publicidad dirigida, la Sección 715D.4(6) exige que lo divulgue y explique cómo excluirse de la venta.
¿Iowa exige evaluaciones de protección de datos?
No. La ICDPA no contiene un requisito de evaluación de protección de datos, a diferencia de Colorado, Connecticut y Texas. Esta omisión es una de las principales razones por las que la carga de cumplimiento de Iowa es más ligera que en la mayoría de los estados. Aun así, debe mantener seguridad razonable y documentación bajo la Sección 715D.4(1), pero no tiene que preparar evaluaciones de riesgo formales.
¿Tengo que respetar el Control de Privacidad Global en Iowa?
No. La ICDPA no exige a los controladores reconocer señales universales de exclusión como el Control de Privacidad Global. Los consumidores ejercen la exclusión de venta a través del método que usted designe bajo la Sección 715D.4. Esto es diferente de estados como Colorado, Connecticut y California, que exigen respetar las señales a nivel de navegador.
¿Qué contratos necesito con mis proveedores?
La Sección 715D.5(2) exige un contrato escrito de procesamiento de datos con cada encargado. Debe establecer las instrucciones de procesamiento, la naturaleza y el propósito, el tipo de datos y la duración, y exigir confidencialidad, eliminación o devolución de datos, demostraciones de cumplimiento y términos de traspaso a subcontratistas. Añada un anexo de procesamiento de datos a cualquier acuerdo con proveedores que carezca de uno.
¿Cuánto tiempo tengo para responder a una solicitud del consumidor?
Bajo la Sección 715D.3(2)(a), debe responder dentro de los 90 días de una solicitud autenticada, con una extensión opcional de 45 días cuando sea razonablemente necesario si notifica al consumidor a tiempo. También debe proporcionar un proceso de apelación bajo la Sección 715D.3(3) con una decisión escrita dentro de 60 días. Las respuestas son gratuitas hasta dos veces al año por consumidor.
¿Qué es el período de subsanación de la ICDPA?
Bajo la Sección 715D.8(2), el Fiscal General debe dar un aviso escrito de 90 días antes de iniciar cualquier acción. Si usted subsana la infracción notificada dentro de ese plazo y proporciona una declaración escrita de que ha sido subsanada y no volverá a ocurrir, no se puede iniciar ninguna acción. Esta subsanación de 90 días está entre las más largas de cualquier ley estatal integral de privacidad y no tiene fecha de vencimiento a partir de 2026.
¿Cuáles son las sanciones por infringir la ICDPA?
Si una empresa no subsana la infracción dentro del plazo de 90 días, la Sección 715D.8(3) autoriza una medida cautelar y sanciones civiles de hasta $7,500 por infracción, pagadas al fondo de educación y litigio del consumidor de Iowa. La aplicación es exclusivamente del Fiscal General bajo la Sección 715D.8(1), y la Sección 715D.8(4) prohíbe cualquier derecho de acción privado.
Actualizaciones
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en 5 disposiciones legales conservadas en nuestro propio registro jurídico, cada una obtenida de la fuente oficial. Toque una sección para leer el texto vigente.
Iowa Code, Chapter 715D: CONSUMER DATA PROTECTIONS
§ 715D.2Scope and exemptions.Vigentecitada en 3 de nuestros artículos
1. This chapter applies to a person conducting business in the state or producing products or services that are targeted to consumers who are residents of the state and that during a calendar year does either of the following: a. Controls or processes personal data of at least one hundred thousand consumers. b. Controls or processes personal data of at least twenty-five thousand consumers and derives over fifty percent of gross revenue from the sale of personal data. 2. This chapter shall not apply to the state or any political subdivision of the state; financial institutions, affiliates of financial institutions, or data subject to Tit. V of the federal Gramm-Leach-Bliley Act of 1999, 15 U.S.C. §6801 et seq.; persons who are subject to and comply with regulations promulgated pursuant to Tit. II, subtit. F, of the federal Health Insurance Portability and Accountability Act of 1996, Pub. L. No. 104-191, and Tit. XIII, subtit. D, of the federal Health Information Technology for Economic and Clinical Health Act of 2009, 42 U.S.C. §17921 – 17954; nonprofit organizations; or institutions of higher education. 3. The following information and data is exempt from this chapter: a.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en legis.iowa.gov
§ 715D.3Consumer data rights.Vigentecitada en 4 de nuestros artículos
1. A consumer may invoke the consumer rights authorized pursuant to this section at any time by submitting a request to the controller, through the means specified by the controller pursuant to section 715D.4, subsection 6, specifying the consumer rights the consumer wishes to invoke. A known child’s parent or legal guardian may invoke such consumer rights on behalf of the known child regarding processing personal data belonging to the child. A controller shall comply with an authenticated consumer request to exercise all of the following: a. To confirm whether a controller is processing the consumer’s personal data and to access such personal data. b. To delete personal data provided by the consumer. c. To obtain a copy of the consumer’s personal data, except as to personal data that is defined as “personal information” pursuant to section 715C.1 that is subject to security breach protection, that the consumer previously provided to the controller in a portable and, to the extent technically practicable, readily usable format that allows the consumer to transmit the data to another controller without hindrance, where the processing is carried out by automated means. d.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en legis.iowa.gov
§ 715D.4Data controller duties.Vigentecitada en 4 de nuestros artículos
1. A controller shall adopt and implement reasonable administrative, technical, and physical data security practices to protect the confidentiality, integrity, and accessibility of personal data. Such data security practices shall be appropriate to the volume and nature of the personal data at issue. 2. A controller shall not process sensitive data collected from a consumer for a nonexempt purpose without the consumer having been presented with clear notice and an opportunity to opt out of such processing, or, in the case of the processing of sensitive data concerning a known child, without processing such data in accordance with the federal Children’s Online Privacy Protection Act, 15 U.S.C. §6501 et seq. 3. A controller shall not process personal data in violation of state and federal laws that prohibit unlawful discrimination against a consumer. A controller shall not discriminate against a consumer for exercising any of the consumer rights contained in this chapter, including denying goods or services, charging different prices or rates for goods or services, or providing a different level of quality of goods and services to the consumer.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en legis.iowa.gov
Citada en 1 opiniones judicialesAplicada por un tribunal por última vez: 2023
Casos destacados: Calabretto Building Group v. Tradesmen International, LLC. (Court of Appeals of Iowa 2023)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 715D.5Processor duties.Vigentecitada en 2 de nuestros artículos
1. A processor shall assist a controller in duties required under this chapter, taking into account the nature of processing and the information available to the processor by appropriate technical and organizational measures, insofar as is reasonably practicable, as follows: a. To fulfill the controller’s obligation to respond to consumer rights requests pursuant to section 715D.3. b. To meet the controller’s obligations in relation to the security of processing the personal data and in relation to the notification of a security breach of the processor pursuant to section 715C.2. 2. A contract between a controller and a processor shall govern the processor’s data processing procedures with respect to processing performed on behalf of the controller. The contract shall clearly set forth instructions for processing personal data, the nature and purpose of processing, the type of data subject to processing, the duration of processing, and the rights and duties of both parties. The contract shall also include requirements that the processor shall do all of the following: a.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en legis.iowa.gov
§ 715D.8Enforcement — penalties.Vigentecitada en 3 de nuestros artículos
1. The attorney general shall have exclusive authority to enforce the provisions of this chapter. Whenever the attorney general has reasonable cause to believe that any person has engaged in, is engaging in, or is about to engage in any violation of this chapter, the attorney general is empowered to issue a civil investigative demand. The provisions of section 685.6 shall apply to civil investigative demands issued under this chapter. 2. Prior to initiating any action under this chapter, the attorney general shall provide a controller or processor ninety days’ written notice identifying the specific provisions of this chapter the attorney general alleges have been or are being violated. If within the ninety-day period, the controller or processor cures the noticed violation and provides the attorney general an express written statement that the alleged violations have been cured and that no further such violations shall occur, no action shall be initiated against the controller or processor. 3.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en legis.iowa.gov
Explore la ley
Este artículo también se apoya en estas leyes y capítulos (abriendo en su primera sección): Iowa Code, Chapter 715D: CONSUMER DATA PROTECTIONS § 715D.1 (Definitions.)
Leyes relacionadas para lectura adicional; no forman parte de las citas de este artículo.
Fuentes y referencias
- Iowa Code Capítulo 715D: Protecciones de Datos del Consumidor (Texto Completo)(legis.iowa.gov).gov
- Iowa Code Sección 715D.2: Alcance y Exenciones(legis.iowa.gov).gov
- Iowa Code Sección 715D.4: Deberes del Controlador de Datos(legis.iowa.gov).gov
- Iowa Code Sección 715D.5: Deberes del Encargado del Tratamiento(legis.iowa.gov).gov
- Iowa Code Sección 715D.3: Derechos de Datos del Consumidor (Ventana de Respuesta)(legis.iowa.gov).gov
- Iowa Code Sección 715D.8: Aplicación y Sanciones (Subsanación de 90 Días)(legis.iowa.gov).gov
- Iowa Senate File 262 (2023): Ley de Protección de Datos del Consumidor(legis.iowa.gov).gov
- Fiscal General de Iowa: Protección al Consumidor(iowaattorneygeneral.gov).gov