Montana
Leyes de Privacidad de Datos de Montana: Guía de Derechos del Consumidor Bajo la MCDPA (2026)
Verificado de forma independiente contra fuentes primarias (última auditoría: 14 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 14 de agosto de 2026. · 12 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
La Ley de Privacidad de Datos del Consumidor de Montana (MCDPA), codificada en el Mont. Code Ann. 30-14-2801, otorga a los residentes el derecho a acceder, corregir, eliminar y obtener copias portátiles de sus datos personales, así como a excluirse de la venta de datos y de la publicidad dirigida. La ley cubre a las empresas que procesan datos de 25,000 o más consumidores de Montana.
Montana ha construido uno de los marcos de privacidad estatales más estratificados del país. La Ley de Privacidad de Datos del Consumidor de Montana (MCDPA), codificada en el Mont. Code Ann. 30-14-2801 y siguientes, otorga a los residentes de Montana un control sustancial sobre cómo las empresas recopilan, utilizan y venden su información personal. Ese estatuto se apoya en algo que la mayoría de los estados no tiene: una garantía constitucional explícita de privacidad.
El Artículo II, Sección 10 de la Constitución de Montana declara que la privacidad individual es esencial para una sociedad libre y no puede ser infringida sin un interés estatal apremiante. Ese piso constitucional significa que los tribunales de Montana aplican un escrutinio más estricto a las intromisiones gubernamentales en los datos personales que los tribunales de estados que dependen únicamente de la doctrina federal de la Cuarta Enmienda.
Esta guía cubre el marco completo de la MCDPA según fue modificada por el SB 297 en 2025, la protección constitucional de la privacidad de Montana, la Ley de Privacidad de Información Genética, el estatuto de notificación de violaciones de datos, la ley de escuchas telefónicas de Montana, y lo que estas leyes significan en conjunto para los consumidores y las empresas.
El Derecho Constitucional a la Privacidad de Montana
Montana es uno de aproximadamente una docena de estados con un derecho explícito a la privacidad incorporado en su constitución. El Artículo II, Sección 10 establece:
"El derecho a la privacidad individual es esencial para el bienestar de una sociedad libre y no podrá ser infringido sin demostrar un interés estatal apremiante."
Ese lenguaje fue adoptado en la convención constitucional de Montana de 1972, lo que la sitúa décadas antes que la mayoría de la legislación moderna de privacidad de datos. La disposición se aplica a la acción gubernamental, no a la conducta privada, por lo que no crea de manera independiente reclamos contra empresas. Sin embargo, moldea la forma en que los tribunales de Montana interpretan los estatutos de privacidad y cómo la legislatura ha abordado la MCDPA.
El derecho constitucional a la privacidad ha sido citado en decisiones de la Corte Suprema de Montana relacionadas con el acceso de las fuerzas del orden a la información, el mantenimiento de registros gubernamentales y el alcance de los requisitos de reporte de salud pública. En términos prácticos, las empresas que operan en Montana enfrentan un entorno legal donde la privacidad se trata como un valor constitucional, no simplemente como una preferencia regulatoria.
La propia MCDPA fue redactada en ese contexto. Los bajos umbrales de aplicabilidad de Montana, su reconocimiento temprano de las señales universales de exclusión voluntaria y la definición relativamente amplia de datos sensibles reflejan una legislatura que toma en serio la garantía constitucional de privacidad.
¿Qué Es la Ley de Privacidad de Datos del Consumidor de Montana (MCDPA)?
La MCDPA fue promulgada el 19 de mayo de 2023 como el Senate Bill 384. Entró en vigor el 1 de octubre de 2024, convirtiendo a Montana en uno de un número creciente de estados con legislación integral de privacidad de datos del consumidor.
La ley fue modificada sustancialmente por el Senate Bill 297, que el gobernador Gianforte firmó el 8 de mayo de 2025. Esas enmiendas entraron en vigor el 1 de octubre de 2025 y redujeron los umbrales de aplicabilidad, eliminaron del estatuto el lenguaje sobre el período de subsanación, y agregaron protecciones sólidas para los menores.
El Departamento de Justicia de Montana supervisa la aplicación a través de la Oficina de Protección al Consumidor.
¿Quién Debe Cumplir con la MCDPA?
Conforme al Mont. Code Ann. 30-14-2803, la MCDPA se aplica a cualquier persona o entidad que realice negocios en Montana o que produzca productos o servicios dirigidos a los residentes de Montana y que cumpla con uno de dos umbrales.
Umbrales de Aplicabilidad (Actualizados por el SB 297)
El SB 384 original fijó el umbral en 50,000 consumidores. El SB 297 lo redujo significativamente, con vigencia a partir del 1 de octubre de 2025.
| Umbral | Original (SB 384) | Modificado (SB 297) |
|---|---|---|
| Umbral general | 50,000 consumidores | 25,000 consumidores |
| Umbral basado en ingresos | 25,000 consumidores + 25% de ingresos por venta de datos | 15,000 consumidores + 25% de ingresos por venta de datos |
El umbral general de 25,000 consumidores se encuentra entre los más bajos de cualquier ley estatal integral de privacidad. Más empresas pequeñas y medianas quedan sujetas a los requisitos de Montana que a leyes comparables en otros estados. El conteo de consumidores excluye los datos procesados únicamente para completar transacciones de pago.
Cobertura Más Amplia para las Protecciones de los Menores
Las secciones de la MCDPA relativas a las protecciones para menores se aplican a cualquier entidad que realice negocios en Montana o que dirija productos o servicios comerciales a los residentes de Montana, sin importar cuántos consumidores tenga cuyos datos procese. No existe un umbral numérico para las disposiciones relativas a menores.
Exenciones Clave
La MCDPA exime a ciertas entidades y tipos de datos de sus requisitos:
- Los bancos, cooperativas de crédito, aseguradoras y productores de seguros están exentos a nivel de entidad
- Las organizaciones sin fines de lucro están exentas solo si se establecieron para detectar y prevenir actos fraudulentos relacionados con seguros
- Los datos cubiertos por la GLBA están exentos, aunque las instituciones financieras que procesan datos fuera del alcance de la Ley Gramm-Leach-Bliley deben cumplir con la MCDPA para ese procesamiento
- La información de salud cubierta por la HIPAA está exenta
- Los datos de empleo procesados en el contexto de relaciones laborales están exentos
- Las agencias gubernamentales no están cubiertas
El SB 297 redujo el alcance de varias de estas exenciones. Anteriormente, las instituciones financieras contaban con una exención más amplia a nivel de entidad bajo la GLBA. La ley revisada limita esa exención a tipos específicos de entidades (bancos autorizados, cooperativas de crédito, aseguradoras) y solo para actividades cubiertas por la GLBA.
Derechos del Consumidor Bajo la MCDPA
La MCDPA otorga a los residentes de Montana cinco derechos fundamentales de privacidad conforme al Mont. Code Ann. 30-14-2808. Estos derechos se aplican a cualquier persona que califique como "consumidor" bajo la ley: una persona física que sea residente de Montana y que actúe en calidad personal (no comercial ni laboral).
Derecho a Saber y Acceder
Los consumidores pueden confirmar si una empresa está procesando sus datos personales y solicitar acceso a esos datos. Conforme al SB 297, los responsables del tratamiento no pueden divulgar ciertos identificadores sensibles (números de Seguro Social, identificaciones gubernamentales, números de cuentas financieras, contraseñas, datos biométricos) en respuesta a solicitudes de acceso. En su lugar, deben confirmar la recopilación con "suficiente especificidad".
Derecho a Corregir
Los consumidores pueden solicitar que una empresa corrija datos personales inexactos, tomando en cuenta la naturaleza de los datos y los propósitos de su procesamiento.
Derecho a Eliminar
Los consumidores pueden solicitar que una empresa elimine los datos personales que el consumidor proporcionó o que la empresa obtuvo sobre el consumidor.
Derecho a la Portabilidad de Datos
Los consumidores pueden obtener una copia de sus datos personales en un formato portátil y fácilmente utilizable que permita su transferencia a otra entidad sin obstáculos.
Derecho a Excluirse
Los consumidores pueden excluirse de tres tipos de procesamiento de datos:
- Publicidad dirigida basada en datos personales obtenidos de las actividades del consumidor en sitios web no afiliados
- Venta de datos personales a terceros a cambio de dinero u otra contraprestación de valor
- Elaboración de perfiles que produzca efectos legales o efectos igualmente significativos sobre el consumidor
El SB 297 amplió el derecho de exclusión voluntaria respecto de la elaboración de perfiles al eliminar la palabra "únicamente", lo que significa que el derecho ahora cubre decisiones que incluyen la elaboración de perfiles como un componente, no solo decisiones tomadas enteramente por sistemas automatizados.
Cómo Ejercer Estos Derechos
Las empresas deben proporcionar al menos un método claro para que los consumidores presenten solicitudes. Los responsables del tratamiento deben responder a las solicitudes verificadas dentro de 45 días y pueden extender el período de respuesta por 45 días adicionales si es razonablemente necesario, con notificación al consumidor. Los consumidores pueden designar a un agente autorizado para presentar solicitudes en su nombre.
Mecanismo Universal de Exclusión Voluntaria
Desde el 1 de enero de 2025, la MCDPA exige que los responsables del tratamiento reconozcan las señales universales de preferencia de exclusión voluntaria. Estas señales permiten a los consumidores comunicar automáticamente sus preferencias de exclusión a través de la configuración del navegador o de herramientas de privacidad como el Global Privacy Control (GPC).
El mecanismo de exclusión voluntaria debe ser fácil de usar para el consumidor. Los responsables del tratamiento deben poder determinar con precisión si el consumidor es residente de Montana y si la solicitud es legítima. Este requisito coloca a Montana junto a California, Colorado, Connecticut y otros estados que han exigido el reconocimiento de señales universales de exclusión voluntaria.
Protecciones para los Datos Sensibles
La MCDPA define los "datos sensibles" conforme al Mont. Code Ann. 30-14-2802 y exige protecciones reforzadas para ellos. Los responsables del tratamiento no pueden procesar datos sensibles sin antes obtener el consentimiento afirmativo del consumidor.
Categorías de Datos Sensibles
Los datos sensibles incluyen:
- Origen racial o étnico
- Creencias religiosas
- Diagnóstico o condición de salud
- Orientación sexual
- Ciudadanía o estatus migratorio
- Datos genéticos
- Datos biométricos utilizados con fines de identificación
- Datos de un menor conocido (menor de 13 años)
- Datos de geolocalización precisa
El requisito de consentimiento para datos sensibles es una de las disposiciones más sólidas de la MCDPA. El "consentimiento" se define estrictamente como un "acto afirmativo claro que indique un acuerdo libre, específico, informado e inequívoco del consumidor". Los términos de servicio generales, las casillas premarcadas y los patrones oscuros no califican.
Protecciones de Datos de los Menores
La MCDPA incluye protecciones estratificadas para los menores, reforzadas significativamente por el SB 297.
Menores de 13 Años
Los datos personales de un menor conocido de menos de 13 años se clasifican automáticamente como datos sensibles. Su procesamiento requiere el consentimiento previo de un padre, madre o tutor.
Adolescentes de 13 a 16 Años
Si un responsable del tratamiento tiene conocimiento real de que un consumidor tiene entre 13 y 16 años de edad (o ignora deliberadamente ese hecho), debe obtener el consentimiento del consumidor antes de vender sus datos personales o utilizarlos para publicidad dirigida.
Todos los Menores de 18 Años
El SB 297 introdujo un estándar de "deber de cuidado" que exige a los responsables del tratamiento ejercer un cuidado razonable para evitar un "riesgo elevado de daño" a cualquier menor de 18 años al ofrecer servicios, productos o funciones en línea. Los responsables del tratamiento deben realizar evaluaciones de protección de datos para los servicios en línea que presenten un riesgo elevado de daño a los menores. Si la evaluación identifica dicho riesgo, el responsable debe establecer e implementar un plan para mitigarlo o eliminarlo.
La ley no exige verificación de edad ni restricciones de acceso por edad. Los responsables del tratamiento pueden utilizar métodos de estimación de edad comercialmente razonables y no serán responsables por estimaciones de edad erróneas realizadas de buena fe.
Obligaciones de las Empresas
La MCDPA impone varios requisitos a las empresas que califican como "responsables del tratamiento" (entidades que determinan el propósito y los medios del procesamiento de datos personales).
Minimización de Datos
Los responsables del tratamiento deben limitar la recopilación de datos personales a lo que sea "adecuado, pertinente y razonablemente necesario" para un propósito divulgado. No pueden procesar datos personales para fines incompatibles con el propósito divulgado sin obtener consentimiento adicional.
Requisitos del Aviso de Privacidad
Los responsables del tratamiento deben proporcionar un aviso de privacidad claro y accesible que incluya:
- Las categorías de datos personales procesados
- Los propósitos del procesamiento
- Cómo pueden los consumidores ejercer sus derechos
- Las categorías de datos personales compartidos con terceros
- Las categorías de terceros que reciben datos
- Una divulgación clara y visible si el responsable vende datos o los utiliza para publicidad dirigida
- La fecha de la última actualización del aviso
El SB 297 agregó el requisito de que los avisos de privacidad estén disponibles en todos los idiomas en los que el responsable del tratamiento ofrece servicios y sean accesibles para personas con discapacidades. Los cambios materiales en las prácticas de privacidad requieren notificación al consumidor con la oportunidad de retirar el consentimiento.
Seguridad de los Datos
Los responsables del tratamiento deben implementar medidas de seguridad administrativas, técnicas y físicas razonables para proteger los datos personales contra el acceso, uso o divulgación no autorizados.
Evaluaciones de Protección de Datos
Conforme al Mont. Code Ann. 30-14-2814, los responsables del tratamiento deben realizar y documentar evaluaciones de protección de datos para las actividades de procesamiento que presenten un riesgo elevado de daño. Estas incluyen:
- Procesamiento de datos personales para publicidad dirigida
- Venta de datos personales
- Procesamiento de datos sensibles
- Elaboración de perfiles que presente un riesgo previsible de daño
- Procesamiento de datos en relación con servicios en línea que presenten un riesgo elevado de daño para los menores
El Fiscal General puede exigir la presentación de estas evaluaciones durante una investigación.
Obligaciones de los Encargados del Tratamiento
Los encargados del tratamiento (entidades que procesan datos en nombre de los responsables del tratamiento) deben seguir las instrucciones del responsable y proporcionar medidas técnicas y organizativas apropiadas para colaborar con el cumplimiento. Los contratos con los encargados deben incluir disposiciones específicas sobre el procesamiento de datos, la confidencialidad y los derechos de auditoría.
Aplicación y Sanciones
El Fiscal General de Montana tiene autoridad exclusiva de aplicación sobre la MCDPA. No existe un derecho de acción privado, lo que significa que los consumidores individuales no pueden demandar directamente a las empresas por infracciones.
Sanciones
| Tipo de Infracción | Sanción Máxima |
|---|---|
| Cada infracción de la MCDPA | $7,500 por infracción |
| Honorarios de abogados y costos de investigación | Recuperables por el Fiscal General |
| Medidas cautelares | Disponibles |
El estatuto de Montana permite que el Fiscal General trate a cada consumidor afectado como una infracción separada, lo que significa que las sanciones agregadas pueden ser considerables para las prácticas de datos a gran escala que infrinjan la ley.
El Período de Subsanación Expiró el 1 de Abril de 2026
La MCDPA original (SB 384) incluía un período de subsanación de 60 días que estuvo vigente durante 18 meses a partir de la fecha de entrada en vigor de la ley, el 1 de octubre de 2024. Esa ventana estatutaria expiró el 1 de abril de 2026. El SB 297, que entró en vigor el 1 de octubre de 2025, eliminó del estatuto el lenguaje sobre el período de subsanación antes de su vencimiento original. El resultado práctico es el mismo: el Fiscal General de Montana ahora puede iniciar acciones de aplicación inmediatamente después de descubrir una infracción, sin ofrecer la oportunidad de subsanarla.
Facultades de Investigación
El SB 297 amplió las herramientas de aplicación del Fiscal General al autorizar el uso de requerimientos civiles de investigación conforme a la Ley de Protección al Consumidor vigente de Montana. Un plazo de prescripción de 5 años se aplica a las acciones de aplicación. La Oficina de Protección al Consumidor del Fiscal General acepta quejas de consumidores a través de su portal en línea.
Contexto de Aplicación por el Fiscal General
La oficina del Fiscal General de Montana ha estado activa en temas de tecnología y privacidad. El Fiscal General Austin Knudsen impulsó la primera prohibición estatal de TikTok en el país bajo el SB 419 (2023), argumentando que las prácticas de recopilación de datos de TikTok representaban riesgos de protección al consumidor bajo la autoridad de Montana. Esa prohibición fue suspendida por un tribunal federal y finalmente no entró en vigor, pero el litigio demostró la disposición del Fiscal General a utilizar de manera agresiva su autoridad de protección al consumidor en el sector tecnológico. Ahora que el período de subsanación ha expirado, la MCDPA ofrece un vehículo de aplicación más directo para las infracciones de privacidad de datos.
Leyes de Privacidad de Información Genética de Montana
Montana cuenta con dos niveles de protección de la privacidad genética que operan junto con la MCDPA.
Ley de Privacidad de Información Genética (Título 30, Capítulo 23)
La Ley de Privacidad de Información Genética, promulgada como el SB 351 en 2023 y vigente desde el 1 de octubre de 2023, regula a las entidades que recopilan, utilizan o divulgan datos genéticos de los consumidores, incluidas las empresas de pruebas de ADN directas al consumidor. Está codificada en el Mont. Code Ann. Título 30, Capítulo 23.
Senate Bill 163 (2025), vigente desde el 1 de octubre de 2025, amplió la Ley para cubrir también los "datos de neurotecnología" (datos generados al medir la actividad del sistema nervioso central o periférico de un consumidor). Los mismos derechos de consentimiento, acceso, eliminación y destrucción descritos a continuación ahora se extienden a los datos de neurotecnología junto con los datos genéticos, lo que convierte a Montana en uno de los primeros estados, después de Colorado y California, en regular específicamente la privacidad de los datos neuronales.
Requisitos clave de la Ley:
- Consentimiento: Las entidades deben obtener el consentimiento expreso inicial de los consumidores antes de recopilar datos genéticos. Se requiere consentimiento independiente para transferir datos a terceros, utilizar datos más allá del propósito original de la prueba, conservar muestras biológicas, realizar investigación, marketing o vender datos de los consumidores.
- Derechos del consumidor: Las personas tienen derecho a acceder a sus datos genéticos, eliminarlos, revocar el consentimiento y solicitar la destrucción de las muestras biológicas.
- Prohibición de divulgación a aseguradoras: Una entidad no puede divulgar los datos genéticos de un consumidor a ninguna entidad que ofrezca seguro de salud, seguro de vida o seguro de cuidado a largo plazo sin el consentimiento expreso del consumidor.
- Prohibición en el empleo: Los datos genéticos no pueden divulgarse a ningún empleador sin el consentimiento expreso del consumidor.
- Restricciones de almacenamiento de datos: Los datos genéticos o biométricos de residentes de Montana recopilados dentro del estado solo pueden transferirse o almacenarse fuera de los Estados Unidos con el consentimiento del residente.
- Seguridad: Las entidades cubiertas deben mantener programas de seguridad integrales.
La Ley incluye una excepción para la investigación clínica en el caso de participantes en ensayos debidamente realizados con consentimiento informado.
Restricciones para Aseguradoras (Mont. Code Ann. 33-18 Parte 9)
El código de seguros de Montana restringe por separado la forma en que las aseguradoras utilizan la información genética. Conforme al Mont. Code Ann. 33-18-901 y siguientes, las aseguradoras, las corporaciones de servicios de salud y las organizaciones de mantenimiento de la salud no pueden:
- Exigir que una persona se someta a una prueba genética como condición para obtener cobertura de seguro (con excepciones limitadas, como establecer la paternidad o realizar pruebas metabólicas a recién nacidos)
- Solicitar información genética para fines no relacionados con la evaluación o el manejo de la salud actual de una persona, o en personas asintomáticas para fines no relacionados con investigación identificable
Estas restricciones no se aplican a las transacciones de seguro de vida, seguro de ingresos por discapacidad o seguro de cuidado a largo plazo, donde las protecciones federales de la GINA son más limitadas.
Ley de Notificación de Violaciones de Datos de Montana
Aparte de la MCDPA, Montana cuenta con un estatuto de notificación de violaciones de datos en el Mont. Code Ann. 30-14-1704 que exige a las empresas notificar a los residentes cuando su información personal se vea comprometida.
¿Qué Activa una Notificación?
Se requiere una notificación cuando existe una adquisición no autorizada de datos informatizados que compromete materialmente la seguridad, confidencialidad o integridad de la información personal y causa, o razonablemente se cree que causa, pérdida o perjuicio a un residente de Montana.
El acceso de buena fe por parte de un empleado o agente de la empresa no activa los requisitos de notificación, siempre que la información no se utilice de manera indebida ni se divulgue posteriormente.
¿Qué Califica Como Información Personal?
La ley de violaciones de datos cubre el nombre o la inicial del nombre de una persona junto con su apellido, combinados con uno o más de los siguientes elementos de datos sin cifrar:
- Número de Seguro Social
- Número de licencia de conducir, identificación estatal o identificación tribal
- Número de cuenta, tarjeta de crédito o débito junto con cualquier código de seguridad o contraseña requeridos
- Información de registros médicos
- Número de identificación de contribuyente
- Número de identificación personal de protección de identidad del IRS
Se excluye la información disponible públicamente proveniente de registros gubernamentales.
Cronograma y Métodos de Notificación
Las empresas deben notificar a los residentes afectados de Montana "sin demora injustificada", de manera coherente con las necesidades legítimas de las fuerzas del orden. Las fuerzas del orden pueden solicitar un aplazamiento si la notificación pudiera obstaculizar una investigación criminal.
Los métodos de notificación aceptables incluyen:
- Aviso por escrito
- Aviso electrónico (conforme a la Ley federal E-SIGN, )
- Aviso telefónico
- Aviso sustituto (si los costos superan los $250,000, si se ven afectadas más de 500,000 personas, o si no se dispone de información de contacto suficiente)
El aviso sustituto requiere una combinación de correo electrónico, publicación visible en el sitio web y notificación a los medios de comunicación de todo el estado.
Notificación al Fiscal General
Cualquier empresa que envíe notificaciones de violaciones a los consumidores debe presentar simultáneamente una copia electrónica del aviso a la Oficina de Protección al Consumidor del Fiscal General de Montana en databreach@mt.gov. La copia enviada al Fiscal General debe excluir la información que identifique personalmente a los consumidores individuales.
Ley de Escuchas Telefónicas y Comunicaciones Electrónicas de Montana
El estatuto de escuchas telefónicas de Montana, Mont. Code Ann. 45-8-213, prohíbe grabar una conversación con un dispositivo electrónico o mecánico oculto sin el conocimiento de todas las partes. Montana no es simplemente un estado de "consentimiento de todas las partes". El estatuto se activa por dos elementos: un dispositivo oculto y la ausencia de conocimiento de todas las partes. Si se elimina cualquiera de los dos elementos, la prohibición no se aplica.
El estatuto incluye una excepción de anuncio: una vez que cualquiera de las partes advierte audiblemente que la conversación está siendo grabada, cualquiera de las partes puede grabar. No se requiere respuesta o reconocimiento de la otra parte.
Las infracciones constituyen un delito menor, con sanciones que comienzan en hasta seis meses de cárcel y una multa de $500, las cuales aumentan con cada condena.
El estatuto de escuchas telefónicas y la MCDPA operan de manera independiente. Las empresas que recopilan datos legalmente conforme a la MCDPA aún pueden enfrentar responsabilidad por escuchas telefónicas si interceptan comunicaciones electrónicas sin el aviso adecuado. Para un análisis completo de la ley de grabación de Montana, consulte Leyes de Grabación de Montana.
Superposición de la Privacidad Federal
Las leyes federales de privacidad se aplican a las empresas y residentes de Montana junto con la ley estatal. Los estatutos federales clave incluyen:
Ley TAKE IT DOWN (Pub. L. 119-12, firmada el 19 de mayo de 2025): Esta ley federal tipifica como delito la publicación consciente de imágenes íntimas no consensuadas (NCII, por sus siglas en inglés), incluidos los deepfakes generados por IA. Las sanciones penales entraron en vigor inmediatamente tras la firma. Las plataformas en línea tienen hasta el 19 de mayo de 2026 para implementar procesos de retiro de contenido para las NCII reportadas, con aplicación de las obligaciones de las plataformas por parte de la FTC.
HIPAA: La Ley de Portabilidad y Responsabilidad del Seguro Médico regula la información de salud protegida en poder de las entidades cubiertas (proveedores de atención médica, planes de salud, cámaras de compensación de atención médica) y sus asociados comerciales. Los datos de salud regulados por la HIPAA están exentos del alcance de la MCDPA, pero las propias reglas de privacidad y seguridad de la HIPAA se aplican de manera independiente.
GLBA: La Ley Gramm-Leach-Bliley regula la manera en que las instituciones financieras manejan la información financiera de los consumidores. Los datos cubiertos por la GLBA están exentos de la MCDPA. La exención modificada de Montana cubre tipos específicos de entidades financieras (bancos autorizados, cooperativas de crédito, aseguradoras) para las actividades cubiertas por la GLBA.
FCRA: La Ley de Informe Justo de Crédito regula a las agencias de informes de consumidores y el uso de los informes de consumidores para decisiones de crédito, empleo, seguros y decisiones similares. Los datos sujetos a la FCRA están exentos de la MCDPA.
COPPA: La Ley de Protección de la Privacidad Infantil en Línea exige el consentimiento parental verificable antes de recopilar información personal de menores de 13 años. La COPPA opera junto con (no en lugar de) las disposiciones de la MCDPA relativas a los datos de menores.
Sección 5 de la Ley de la FTC: La Comisión Federal de Comercio puede presentar reclamos por prácticas comerciales desleales o engañosas contra empresas que realicen declaraciones materialmente falsas sobre sus prácticas de datos o que no implementen medidas de seguridad razonables. La autoridad de la FTC se aplica en Montana sin importar si la MCDPA se aplica a una empresa determinada.
APRA (Ley Estadounidense de Derechos de Privacidad): Un proyecto de ley federal integral de privacidad se presentó en 2024 y se reintrodujo como APRA 2.0 en 2025, pero no había sido promulgado hasta mayo de 2026. La MCDPA de Montana continúa rigiendo en ausencia de una preferencia federal.
Cómo se Compara la MCDPA con Otras Leyes Estatales de Privacidad
La MCDPA de Montana comparte un marco común con las leyes de privacidad de estados como Virginia, Colorado y Connecticut, pero varias disposiciones la distinguen.
| Característica | Montana (MCDPA) | Virginia (VCDPA) | Colorado (CPA) |
|---|---|---|---|
| Umbral de consumidores | 25,000 | 100,000 | 100,000 |
| Umbral basado en ingresos | 15,000 + 25% de ingresos | 25,000 + 50% de ingresos | 25,000 + ingresos |
| Exclusión voluntaria universal requerida | Sí (ene. 2025) | No | Sí (jul. 2024) |
| Período de subsanación | Expirado (abr. 2026) | 30 días | Eliminado (ene. 2025) |
| Protecciones para menores (menores de 18) | Sí (deber de cuidado) | Limitadas | Sí (deber de cuidado, vig. oct. 2025, SB 24-041) |
| Sanción máxima por infracción | $7,500 | $7,500 | $20,000 |
| Derecho constitucional a la privacidad | Sí (Art. II, Secc. 10) | No | No |
El umbral de 25,000 consumidores de Montana y su trasfondo constitucional de privacidad la convierten en uno de los regímenes estatales más protectores. La tabla comparativa anterior solo cubre la ley principal de privacidad del consumidor; la Ley de Privacidad de Información Genética y el estatuto de escuchas telefónicas de Montana agregan capas que la mayoría de los estados comparables no tienen.
Más Leyes de Montana
Comprender las leyes de privacidad de datos de Montana es importante, pero el estado tiene muchos otros requisitos legales que pueden afectarle. Explore estas guías relacionadas:
- Leyes de Grabación de Montana: Reglas de Consentimiento y Sanciones
- Leyes de Cámaras de Vigilancia de Montana
- Leyes de Verificación de Antecedentes de Montana
- Leyes de Retención de Registros Médicos de Montana
- Leyes de Denunciantes de Montana
- Plazo de Prescripción de Montana
- Leyes de Grabación de Reuniones con IA de Montana
- Leyes de Pensión Alimenticia de Montana
- Leyes de Empleo a Voluntad de Montana
- Leyes de Accidentes de Auto de Montana
- Leyes de Asientos de Seguridad para Niños de Montana
- Leyes de Custodia de los Hijos de Montana
- Leyes de Manutención de los Hijos de Montana
- Leyes de Matrimonio de Hecho de Montana
- Leyes de Deepfake de Montana
- Leyes de Divorcio de Montana
- Leyes de Mordeduras de Perro de Montana
- Leyes de Emancipación de Montana
- Leyes de Eliminación de Antecedentes Penales de Montana
- Leyes de Choque y Fuga de Montana
- Leyes de Propietarios e Inquilinos de Montana
- Ley del Limón de Montana
Guías detalladas
Actualizaciones
Corrected the Consumer Rights section to cite and link the actual rights provision (Mont. Code Ann. 30-14-2808, not the Exemptions section it previously pointed to), updated the state-comparison table to reflect Colorado's new under-18 privacy protections (SB 24-041, effective October 2025), noted that Montana's Genetic Information Privacy Act was expanded in 2025 to also cover neurotechnology (neural) data, replaced two dead legislative citation links with verified working sources, and softened an outdated count of states with constitutional privacy rights.
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en 7 disposiciones legales conservadas en nuestro propio registro jurídico, cada una obtenida de la fuente oficial. Toque una sección para leer el texto vigente.
United States Code Title 15
§ 7001General rule of validityVigentecitada en 18 de nuestros artículos
Notwithstanding any statute, regulation, or other rule of law (other than this subchapter and subchapter II), with respect to any transaction in or affecting interstate or foreign commerce— a signature, contract, or other record relating to such transaction may not be denied legal effect, validity, or enforceability solely because it is in electronic form; and a contract relating to such transaction may not be denied legal effect, validity, or enforceability solely because an electronic signature or electronic record was used in its formation. This subchapter does not— limit, alter, or otherwise affect any requirement imposed by a statute, regulation, or rule of law relating to the rights and obligations of persons under such statute, regulation, or rule of law other than a requirement that contracts or other records be written, signed, or in nonelectronic form; or require any person to agree to use or accept electronic records or electronic signatures, other than a governmental agency with respect to a record other than a contract to which it is a party.
Texto oficial (extracto) · al 2026-07-28 · Lea la sección completa en uscode.house.gov
Citada en 132 opiniones judicialesAplicada por un tribunal por última vez: 2026
En los tribunales (resumen editorial, verificado de forma independiente):Los tribunales han aplicado la regla del § 7001 de que las firmas y registros electrónicos tienen efecto legal, incluyendo en Metropolitan Regional Information Systems, Inc. v. American Home Realty Network, Inc. (2012), donde el tribunal rechazó un argumento en contra del mantenimiento de registros electrónicos bajo la Ley E-SIGN.
Casos destacados: Metropolitan Regional Information Systems, Inc. v. American Home Realty Network, Inc. (District Court, D. Maryland 2012, 904 F. Supp. 2d 530) · Cutrone v. Mortgage Electronic Registration Systems, Inc. (District Court, E.D. New York 2013, 981 F. Supp. 2d 144) · Blatt v. Capital One Auto Finance, Inc. (District Court, M.D. Tennessee 2017, 237 F. Supp. 3d 688)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
Montana Code Annotated, Title 30
§ 30-14-1704Computer Security BreachVigentecitada en 4 de nuestros artículos
30-14-1704. Computer security breach. (1) Any person or business that conducts business in Montana and that owns or licenses computerized data that includes personal information shall disclose any breach of the security of the data system following discovery or notification of the breach to any resident of Montana whose unencrypted personal information was or is reasonably believed to have been acquired by an unauthorized person. The disclosure must be made without unreasonable delay, consistent with the legitimate needs of law enforcement, as provided in subsection (3), or consistent with any measures necessary to determine the scope of the breach and restore the reasonable integrity of the data system. (2) Any person or business that maintains computerized data that includes personal information that the person or business does not own shall notify the owner or licensee of the information of any breach of the security of the data system immediately following discovery if the personal information was or is reasonably believed to have been acquired by an unauthorized person.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en mca.legmt.gov
§ 30-14-2802DefinitionsVigentecitada en 4 de nuestros artículos
30-14-2802. Definitions. As used in this part, unless the context clearly indicates otherwise, the following definitions apply: (1) "Adult" means an individual who is 18 years of age or older. (2) "Affiliate" means a legal entity that shares common branding with another legal entity or controls, is controlled by, or is under common control with another legal entity. (3) "Authenticate" means to use reasonable methods to determine that a request to exercise any of the rights afforded under 30-14-2808(1)(a) through (1)(e) is being made by, or on behalf of, the consumer who is entitled to exercise these consumer rights with respect to the personal data at issue. (4) (a) "Biometric data" means data generated by automatic measurements of an individual's biological characteristics, such as a fingerprint, a voiceprint, eye retinas, irises, or other unique biological patterns or characteristics that are used to identify a specific individual.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en mca.legmt.gov
§ 30-14-2803ApplicabilityVigentecitada en 3 de nuestros artículos
30-14-2803. Applicability. (1) The provisions of this part, excluding 30-14-2811, 30-14-2818, and 30-14-2819, apply to persons that conduct business in this state or persons that produce products or services that are targeted to residents of this state and: (a) control or process the personal data of not less than 25,000 consumers, excluding personal data controlled or processed solely for the purpose of completing a payment transaction; or (b) control or process the personal data of not less than 15,000 consumers and derive more than 25% of gross revenue from the sale of personal data. (2) Sections 30-14-2811, 30-14-2818, and 30-14-2819 apply to persons that conduct business in this state or deliver commercial products or services that are intentionally targeted to residents of this state.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en mca.legmt.gov
§ 30-14-2814Data Protection AssessmentVigentecitada en 2 de nuestros artículos
30-14-2814. Data protection assessment. (1) A controller shall conduct and document a data protection assessment for each of the controller's processing activities that presents a heightened risk of harm to a consumer. For the purposes of this section, processing that presents a heightened risk of harm to a consumer includes: (a) the processing of personal data for the purposes of targeted advertising; (b) the sale of personal data; (c) the processing of personal data for the purposes of profiling in which the profiling presents a reasonably foreseeable risk of: (i) unfair or deceptive treatment of or unlawful disparate impact on consumers; (ii) financial, physical, or reputational injury to consumers; (iii) a physical or other form of intrusion on the solitude or seclusion or the private affairs or concerns of consumers in which the intrusion would be offensive to a reasonable person; or (iv) other substantial injury to consumers; and (d) the processing of sensitive data.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en mca.legmt.gov
§ 30-23-104Consumer Genetic Or Neurotechnology Data -- Privacy Notice -- Consent -- Access -- Deletion -- DestructionVigente
30-23-104. Consumer genetic or neurotechnology data -- privacy notice -- consent -- access -- deletion -- destruction. To safeguard the privacy, confidentiality, security, and integrity of a consumer's genetic or neurotechnology data, an entity shall: (1) provide clear and complete information regarding the entity's policies and procedures for the collection, use, or disclosure of genetic or neurotechnology data by making available to a consumer: (a) a high-level privacy policy overview that includes basic, essential information about the entity's collection, use, or disclosure of genetic or neurotechnology data; and (b) a prominent, publicly available privacy notice that includes, at a minimum, information about the entity's data collection, consent, use, access, disclosure, transfer, security, and retention and deletion practices for genetic or neurotechnology data; (2) obtain initial express consent from a consumer, parent, guardian, or power of attorney for the collection, use, or disclosure of the consumer's genetic or neurotechnology data that: (a) clearly describes the entity's use of the genetic or neurotechnology data that the entity collects through the entity's…
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en mca.legmt.gov
Montana Code Annotated, Title 45
§ 45-8-213Privacy In CommunicationsVigentecitada en 23 de nuestros artículos
45-8-213. Privacy in communications. (1) Except as provided in 69-6-104, a person commits the offense of violating privacy in communications if the person knowingly or purposely: (a) with the purpose to terrify, intimidate, threaten, harass, or injure, communicates with a person by electronic communication and threatens to inflict injury or physical harm to the person or property of the person or makes repeated use of obscene, lewd, or profane language or repeated lewd or lascivious suggestions; (b) uses an electronic communication to attempt to extort money or any other thing of value from a person or to disturb by repeated communications the peace, quiet, or right of privacy of a person at the place where the communications are received; (c) records or causes to be recorded a conversation by use of a hidden electronic or mechanical device that reproduces a human conversation without the knowledge of all parties to the conversation; (d) with the purpose to terrify, intimidate, threaten, harass, or injure or to obtain money or other valuable consideration, publishes, distributes, or discloses real or digitally fabricated printed or electronic photographs, pictures, images, or…
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en mca.legmt.gov
Citada en 23 opiniones judicialesAplicada por un tribunal por última vez: 2025
En los tribunales (resumen editorial, verificado de forma independiente):En State v. Dugan (2013), la Corte Suprema de Montana declaró inconstitucional por exceso de amplitud el lenguaje de presunción prima facie de la sección 45-8-213. La ley también se ha aplicado en procesos por delitos menores, como en In re C.S. (1984).
Casos destacados: State v. Smith (Montana Supreme Court 2004, 322 Mont. 206) · State v. Dugan (Montana Supreme Court 2013, 369 Mont. 39) · In re C.S. (Montana Supreme Court 1984, 210 Mont. 144)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
Explore la ley
Este artículo también se apoya en estas leyes y capítulos (abriendo en su primera sección): Montana Code Annotated, Title 30 § 30-23-101 (Short Title -- Legislative Findings And Declaration Of Purpose)
Leyes relacionadas para lectura adicional; no forman parte de las citas de este artículo.
Fuentes y referencias
- Ley de Privacidad de Datos del Consumidor de Montana (Mont. Code Ann. 30-14-2803, Aplicabilidad)(mca.legmt.gov).gov
- Ley de Privacidad de Datos del Consumidor de Montana (Mont. Code Ann. 30-14-2802, Definiciones)(mca.legmt.gov).gov
- Ley de Privacidad de Datos del Consumidor de Montana (Mont. Code Ann. 30-14-2814, Evaluaciones de Protección de Datos)(mca.legmt.gov).gov
- Departamento de Justicia de Montana, Oficina de Protección al Consumidor: Privacidad de Datos del Consumidor de Montana(dojmt.gov).gov
- Departamento de Justicia de Montana: Requisitos de Reporte de Violaciones de Datos(dojmt.gov).gov
- Estatuto de Notificación de Violaciones de Datos de Montana (Mont. Code Ann. 30-14-1704)(mca.legmt.gov).gov
- Senate Bill 384 (Ley de Privacidad de Datos del Consumidor de Montana, Texto Original)(dwt.com)
- Senate Bill 297 (Enmiendas de 2025 a la MCDPA, Texto del Proyecto de Ley Promulgado)(archive.legmt.gov).gov
- Constitución de Montana, Artículo II, Sección 10: Derecho a la Privacidad(mca.legmt.gov).gov
- Ley de Privacidad de Información Genética de Montana (Mont. Code Ann. Título 30, Capítulo 23)(archive.legmt.gov).gov
- Privacidad de Datos Genéticos del Consumidor de Montana (Mont. Code Ann. 30-23-104)(mca.legmt.gov).gov
- Privacidad de Información Genética en Seguros de Montana (Mont. Code Ann. 33-18-901 y siguientes)(archive.legmt.gov).gov
- Privacidad en las Comunicaciones de Montana (Mont. Code Ann. 45-8-213, Estatuto de Escuchas Telefónicas)(mca.legmt.gov).gov
- Ley TAKE IT DOWN (Pub. L. 119-12, firmada el 19 de mayo de 2025): Análisis Legal de Orrick(orrick.com)
- Perkins Coie: Actualización de la Ley de Privacidad de Datos del Consumidor de Montana, Panorama de los Grandes Cambios del SB 297(perkinscoie.com)
- Future of Privacy Forum: Enmiendas a la Ley de Privacidad de Datos del Consumidor de Montana(fpf.org)