Leyes de Privacidad Biométrica de Nevada: Recopilación, Consentimiento y Sanciones (2026)

Nevada no cuenta con un estatuto independiente de privacidad biométrica. En su lugar, el Capítulo 603A de los NRS cubre los datos biométricos como datos de salud del consumidor cuando una empresa los utiliza para identificar el estado de salud de una persona, lo que exige un consentimiento afirmativo para la recopilación y una autorización por escrito para las ventas. El Procurador General de Nevada hace cumplir las infracciones; los consumidores no cuentan con un derecho de acción privada.

Nevada adopta un enfoque por niveles para la protección de datos biométricos en lugar de promulgar un único estatuto dedicado a la privacidad biométrica. Las protecciones principales del estado provienen de las disposiciones de Datos de Salud del Consumidor dentro del Capítulo 603A de los NRS, añadidas mediante el Proyecto de Ley del Senado 370 durante la sesión legislativa de 2023.

Esta guía desglosa cómo la ley de Nevada define los datos biométricos, qué obligaciones se aplican a las empresas que los recopilan, y dónde persisten los vacíos legales. Para obtener un panorama más amplio de la regulación de privacidad en el Estado de Plata, consulte la guía principal de Leyes de Privacidad de Datos de Nevada.

Cómo Define Nevada los Datos Biométricos

El NRS 603A.415 define los datos biométricos como los datos generados a partir de la medición o el procesamiento técnico de las características fisiológicas, biológicas o conductuales de una persona que, por sí solas o combinadas con otros datos, pueden identificar a esa persona.

La definición cubre una amplia variedad de identificadores:

• Huellas dactilares, huellas palmares y huellas de las manos
• Imágenes faciales
• Escaneos de iris y retina
• Huellas de voz
• Patrones venosos
• Cicatrices, marcas corporales y tatuajes
• Patrones o ritmos de pulsación de teclas
• Patrones o ritmos de marcha que contengan información identificativa

Se trata de una definición amplia que va más allá de lo que cubren muchos otros estados. La inclusión de la dinámica de pulsación de teclas y los patrones de marcha acerca la definición de Nevada al enfoque adoptado por las leyes integrales de privacidad de Colorado y Connecticut.

La Conexión con los Datos de Salud del Consumidor

El detalle crítico de la ley de Nevada es cómo se conectan los datos biométricos con las protecciones de datos de salud del consumidor. Según el NRS 603A.430, los datos de salud del consumidor significan información personal identificable vinculada o razonablemente capaz de vincularse a un consumidor, que una entidad regulada utiliza para identificar el estado de salud pasado, presente o futuro del consumidor.

Los datos biométricos caen dentro de la definición de datos de salud del consumidor cuando se relacionan con afecciones de salud, diagnósticos, intervenciones médicas, funciones corporales, signos vitales o síntomas. Esto significa que los escaneos de huellas dactilares utilizados para el registro de pacientes en un consultorio médico, el reconocimiento facial en un centro de atención médica o el monitoreo biométrico con fines de salud caen directamente bajo las reglas de datos de salud del consumidor de Nevada.

Sin embargo, los datos biométricos recopilados exclusivamente para fines ajenos a la salud, como un reloj checador de huellas dactilares en un almacén o el reconocimiento facial para la seguridad de un edificio, existen en un vacío regulatorio. Esos usos no están cubiertos por el marco de datos de salud del consumidor, a menos que la entidad utilice esos datos biométricos para identificar el estado de salud.

Requisitos de Consentimiento y Recopilación

Cuando los datos biométricos califican como datos de salud del consumidor, el NRS 603A.500 impone requisitos estrictos a las entidades reguladas.

Una entidad regulada no puede recopilar datos de salud del consumidor, incluidos los datos biométricos relacionados con la salud, sin el consentimiento afirmativo y voluntario del consumidor, salvo que la recopilación sea necesaria para proporcionar un producto o servicio que el consumidor haya solicitado a la entidad. Compartir esos datos exige ese mismo consentimiento afirmativo y voluntario, el cual debe ser independiente y distinto del consentimiento otorgado para la recopilación. Compartir datos tiene dos excepciones adicionales: cuando sea necesario para proporcionar un producto o servicio que el consumidor haya solicitado, y cuando otra disposición legal lo exija o lo autorice.

Antes de solicitar el consentimiento, la entidad regulada debe revelar claramente:

• Las categorías de datos de salud del consumidor que se recopilan
• El propósito de la recopilación o el intercambio de los datos
• Las categorías de entidades con las que se compartirán los datos
• Cómo puede el consumidor retirar su consentimiento

Los consumidores tienen derecho a retirar su consentimiento en cualquier momento. Una vez retirado, la entidad regulada debe dejar de recopilar y compartir los datos dentro de un plazo razonable.

Venta de Datos Biométricos y de Salud

Nevada impone restricciones estrictas a la venta de datos de salud del consumidor. Según el NRS 603A.535, ninguna persona puede vender u ofrecer vender datos de salud del consumidor sin la autorización por escrito del consumidor.

Esa autorización por escrito debe identificar los datos específicos que se venden, nombrar al comprador, describir el propósito de la venta e incluir la firma del consumidor. El consumidor puede revocar la autorización en cualquier momento.

Las empresas tampoco pueden condicionar la provisión de bienes o servicios a que el consumidor acepte la venta de sus datos de salud. Esta disposición antirrepresalias impide que las empresas castiguen a los consumidores que se niegan a autorizar las ventas de datos.

Estas restricciones de venta se aplican a los datos biométricos cuando dichos datos califican como datos de salud del consumidor según la definición legal.

Derechos del Consumidor Según la Ley

Los consumidores de Nevada tienen varios derechos respecto a sus datos biométricos relacionados con la salud según el NRS 603A.505:

• Derecho a confirmar: solicitar confirmación de si una entidad regulada está recopilando, compartiendo o vendiendo sus datos
• Derecho de acceso: obtener una lista de todos los terceros con quienes se han compartido sus datos, o a quienes se hayan vendido
• Derecho a retirar el consentimiento: revocar el consentimiento para la recopilación o el intercambio futuros
• Derecho a eliminar: solicitar la eliminación de todos los datos de salud del consumidor que posea la entidad

Las entidades reguladas deben responder a las solicitudes de los consumidores sin demora injustificada y a más tardar 45 días después de autenticar la solicitud. Pueden extender ese plazo por 45 días adicionales cuando sea razonablemente necesario en función de la complejidad y el número de solicitudes del mismo consumidor, con previo aviso al consumidor.

Cuando un consumidor solicita la eliminación, la entidad regulada debe eliminar todos los datos pertinentes dentro de un plazo de 30 días después de autenticar la solicitud, y notificar a cada afiliado, procesador, contratista o tercero que recibió los datos. Los datos almacenados o archivados en sistemas de respaldo quedan exceptuados: la entidad, y cualquier destinatario al que haya notificado, puede retrasar la eliminación de esa copia hasta por dos años después de que se autentique la solicitud, según sea necesario para restaurar el sistema archivado o de respaldo.

Prohibición de Geolocalización Perimetral Cerca de Centros de Atención Médica

Una de las disposiciones más distintivas de la ley de Nevada es la prohibición de geolocalización perimetral. Ninguna persona puede implementar una geolocalización perimetral (geofence) dentro de un radio de 1,750 pies de cualquier centro médico, centro para personas dependientes u otra entidad que proporcione servicios de atención de salud en persona, con el fin de:

• Identificar o rastrear a los consumidores que buscan servicios de atención médica
• Recopilar datos de salud del consumidor
• Enviar notificaciones, mensajes o anuncios relacionados con datos de salud o servicios de atención médica

Esta disposición protege la recopilación de datos biométricos por proximidad. Las empresas no pueden desplegar reconocimiento facial, rastreo por Bluetooth u otras tecnologías de identificación biométrica en las inmediaciones de los centros de atención médica para identificar pacientes.

Notificación de Violaciones y Datos Biométricos

La ley de notificación de violaciones de datos de Nevada, según el NRS 603A.220, exige que los recopiladores de datos notifiquen a los residentes afectados cuando una violación de seguridad compromete información personal no cifrada.

Sin embargo, la definición de información personal en el NRS 603A.040 no incluye explícitamente los datos biométricos. Cubre:

• Números de Seguro Social
• Números de licencia de conducir o de identificación estatal
• Números de cuentas financieras con códigos de acceso
• Números de identificación médica
• Números de identificación de seguro de salud
• Direcciones de correo electrónico con contraseñas

Esto crea un vacío legal. Si una empresa sufre una violación de datos que expone datos biométricos como huellas dactilares o escaneos faciales, el estatuto de notificación de violaciones no exige explícitamente la notificación al consumidor para ese tipo específico de datos.

La SB 220 y la Exclusión Voluntaria de Privacidad en Línea

Nevada fue uno de los primeros estados en materia de privacidad en línea. Promulgó una ley de aviso de privacidad en internet en 2017 (NRS 603A.300 al 603A.360), y luego añadió un derecho del consumidor a excluirse de la venta de información cubierta mediante el Proyecto de Ley del Senado 220 en 2019, codificado en el NRS 603A.345.

La SB 220 otorga a los consumidores de Nevada el derecho a excluirse de la venta de su información cubierta por parte de los operadores de sitios web de internet o servicios en línea. Si bien esta ley no está dirigida específicamente a los datos biométricos, cualquier información biométrica que un operador recopile a través de un servicio en línea podría caer bajo sus disposiciones de exclusión voluntaria.

El Procurador General de Nevada hace cumplir la SB 220. Las infracciones pueden resultar en sanciones civiles de hasta $5,000 por infracción, sin derecho de acción privada.

Requisitos de Seguridad de Datos

Nevada impone dos niveles de requisitos de seguridad que pueden aplicarse a los datos biométricos.

En primer lugar, el NRS 603A.210 exige que cualquier recopilador de datos que mantenga información personal de residentes de Nevada implemente y mantenga medidas de seguridad razonables para proteger los registros contra el acceso, adquisición, destrucción, uso, modificación o divulgación no autorizados.

En segundo lugar, el NRS 603A.525 exige que las entidades reguladas que manejan datos de salud del consumidor establezcan, implementen y mantengan políticas de seguridad administrativas, técnicas y físicas que cumplan con los estándares de la industria para proteger la confidencialidad, integridad y accesibilidad de los datos de salud del consumidor. Las entidades reguladas también deben limitar el acceso de los empleados y procesadores a los datos de salud del consumidor únicamente a lo necesario.

Cumplimiento y Sanciones

Nevada depende por completo del Procurador General para hacer cumplir sus protecciones de datos biométricos y de salud del consumidor. No existe un derecho de acción privada.

Las infracciones de las disposiciones de datos de salud del consumidor (NRS 603A.400 al 603A.550) constituyen prácticas comerciales engañosas bajo el NRS 598.0903 al 598.0999. El Procurador General puede perseguir:

• Medidas cautelares para detener prácticas ilegales
• Sanciones civiles por cada infracción
• Órdenes que exijan el cumplimiento

Para las infracciones de la disposición de exclusión voluntaria de la SB 220 (NRS 603A.345), o del requisito de aviso del operador en el NRS 603A.340, el Procurador General puede buscar sanciones civiles de hasta $5,000 por infracción.

La ausencia de un derecho de acción privada es una distinción importante respecto a estados como Illinois, donde las personas pueden demandar directamente por infracciones de privacidad biométrica.

Uso de Datos Biométricos por Parte del Empleador

Nevada no cuenta con un estatuto que regule específicamente la recopilación de datos biométricos por parte del empleador para fines laborales, como relojes checadores, acceso a instalaciones o control de asistencia.

Cuando los empleadores recopilan huellas dactilares, escaneos faciales u otros identificadores biométricos exclusivamente con fines laborales y no para identificar el estado de salud, esas actividades quedan fuera del marco de datos de salud del consumidor. Las disposiciones generales de seguridad de datos del NRS 603A.210 siguen aplicándose, lo que significa que los empleadores deben implementar medidas de seguridad razonables para cualquier dato personal que mantengan.

La 83ª Sesión Legislativa cerró en junio de 2025 sin nueva legislación biométrica, y la legislatura de Nevada se reúne solo en años impares, por lo que los empleadores deben estar atentos a la 84ª Sesión Legislativa (2027) para ver cambios, ya que la privacidad biométrica en el lugar de trabajo es un área activa de la legislación estatal a nivel nacional.

Dónde Quedan Cortas las Protecciones Biométricas de Nevada

Persisten varios vacíos en el enfoque de Nevada sobre la privacidad biométrica:

• Sin estatuto biométrico independiente: a diferencia de Illinois, Texas o Washington, Nevada no tiene ninguna ley dedicada exclusivamente a los identificadores biométricos
• Se requiere un nexo con los datos de salud: las protecciones más sólidas solo se aplican cuando los datos biométricos se usan en relación con el estado de salud
• Sin activador de notificación de violaciones: los datos biométricos por sí solos no activan el requisito de notificación de violaciones
• Sin derecho de acción privada: los consumidores no pueden demandar directamente por infracciones de privacidad biométrica
• Cobertura limitada para empleadores: la recopilación biométrica en el lugar de trabajo para fines ajenos a la salud tiene una regulación mínima

La versión original de la SB 370 incluía disposiciones extensas específicas sobre datos biométricos que habrían creado protecciones más cercanas a la BIPA de Illinois. Esas secciones fueron eliminadas mediante una enmienda antes de que se promulgara el proyecto de ley, dejando el marco actual enfocado principalmente en los datos de salud.

Este artículo proporciona información legal general sobre las leyes de privacidad biométrica de Nevada y no constituye asesoría legal. Las regulaciones de privacidad biométrica implican interacciones complejas entre las leyes estatales de datos de salud del consumidor, los estatutos de notificación de violaciones y los requisitos federales. Consulte a un abogado con licencia en Nevada para obtener orientación sobre su situación específica.

Preguntas frecuentes

¿Nevada tiene una ley de privacidad biométrica como la BIPA de Illinois?

No. Nevada no cuenta con un estatuto independiente de privacidad biométrica. Las protecciones de datos biométricos provienen de las disposiciones de datos de salud del consumidor del Capítulo 603A de los NRS, que solo se aplican cuando los datos biométricos se utilizan para identificar el estado de salud de un consumidor. La versión original de la SB 370 (2023) incluía disposiciones biométricas similares a la BIPA, pero esas secciones fueron eliminadas mediante una enmienda antes de que se promulgara el proyecto de ley.

¿Puede mi empleador recopilar mis huellas dactilares en Nevada sin mi consentimiento?

Nevada no cuenta con una ley específica que exija el consentimiento del empleador para la recopilación de datos biométricos en contextos laborales, como relojes checadores o acceso a instalaciones. Los requisitos de consentimiento de datos de salud del consumidor del NRS 603A.500 solo se aplican cuando los datos biométricos se usan en relación con el estado de salud. Los empleadores aún deben seguir los requisitos generales de seguridad de datos del NRS 603A.210 para cualquier dato personal que mantengan.

¿Qué datos biométricos define la ley de Nevada?

El NRS 603A.415 define los datos biométricos de manera amplia como los datos generados al medir o procesar características fisiológicas, biológicas o conductuales que pueden identificar a una persona. Esto incluye huellas dactilares, huellas palmares, huellas de las manos, imágenes faciales, escaneos de iris y retina, huellas de voz, patrones venosos, cicatrices, tatuajes, patrones de pulsación de teclas y patrones de marcha.

¿Puedo demandar a una empresa en Nevada por usar indebidamente mis datos biométricos?

No. La ley de datos de salud del consumidor de Nevada no proporciona un derecho de acción privada. Solo el Procurador General de Nevada puede hacer cumplir las disposiciones de datos biométricos y de salud del consumidor del Capítulo 603A de los NRS. Las infracciones se consideran prácticas comerciales engañosas. Puede presentar una queja ante la Oficina de Protección al Consumidor del Procurador General.

¿Nevada exige la notificación si mis datos biométricos son violados?

No específicamente. La ley de notificación de violaciones de datos de Nevada (NRS 603A.220) exige la notificación cuando se compromete información personal no cifrada, pero la definición legal de información personal en el NRS 603A.040 no incluye explícitamente los datos biométricos. Cubre los números de Seguro Social, las cuentas financieras y los números de identificación médica. Una violación que afecte únicamente datos biométricos podría no activar el requisito de notificación.