Leyes de Privacidad Biométrica de Oklahoma: Recopilación, Consentimiento y Sanciones (2026)

Oklahoma no cuenta con una ley de privacidad biométrica independiente. El estado protege los datos biométricos mediante su Ley de Notificación de Violación de Seguridad, modificada por la SB 626 vigente desde el 1 de enero de 2026, y la Ley de Privacidad de Datos del Consumidor de Oklahoma, vigente desde el 1 de enero de 2027. Ninguna de las dos leyes proporciona un derecho de acción privado.

Oklahoma no cuenta con una ley de privacidad biométrica dedicada. A diferencia de Illinois o Texas, no existe un único estatuto que rija cómo las empresas privadas recopilan, almacenan o usan huellas dactilares, escaneos faciales u otros identificadores biométricos.

Lo que Oklahoma sí tiene es un mosaico de protecciones que se ha ampliado significativamente desde 2025. La Ley de Notificación de Violación de Seguridad revisada ahora trata los datos biométricos como información personal protegida. Una nueva ley integral de privacidad clasifica los datos biométricos como sensibles. Y un estándar gubernamental estatal ya existente restringe cómo las agencias manejan los identificadores biométricos.

Para las empresas y los residentes, comprender cómo encajan estas piezas es esencial. Esto es lo que exige la ley de Oklahoma a partir de 2026.

La Ley de Notificación de Violación de Seguridad y la SB 626

La principal protección de datos biométricos de Oklahoma proviene de la Ley de Notificación de Violación de Seguridad, codificada en el 24 O.S. Secciones 161 a 166. Antes de que la SB 626 entrara en vigor el 1 de enero de 2026, la ley solo cubría números de Seguro Social, números de licencia de conducir y números de cuentas financieras en combinación con el nombre de una persona.

La SB 626 reescribió la definición de "información personal" conforme al 24 O.S. Sección 162 para incluir "datos biométricos únicos, como una huella dactilar, una imagen de retina o iris, u otra representación física o digital única de datos biométricos para autenticar a una persona específica".

La definición ampliada también añadió identificadores electrónicos únicos o códigos de enrutamiento que, en combinación con un código de seguridad, código de acceso o contraseña requeridos, permitirían el acceso a la cuenta financiera de una persona. La lista de elementos de datos de la Sección 162 es cerrada: número de Seguro Social; número de licencia de conducir u otro número de identificación único creado o recopilado por una entidad gubernamental; número de cuenta financiera, tarjeta de crédito o tarjeta de débito junto con la fecha de vencimiento, código de seguridad, código de acceso o contraseña requeridos; el identificador electrónico o código de enrutamiento recién descrito; y datos biométricos únicos. La información médica y la información de seguro médico no son elementos de datos conforme a la Ley.

Qué Activa una Obligación de Notificación

Conforme a la ley revisada, una entidad que sea propietaria o tenga licencia de datos informatizados que contengan información personal debe notificar a cualquier residente de Oklahoma cuyos datos biométricos no encriptados y no redactados hayan sido accedidos o adquiridos por una persona no autorizada, si la violación causa o razonablemente se cree que causará robo de identidad o fraude.

La notificación debe hacerse sin demora injustificada. Las entidades pueden retrasar la notificación únicamente para determinar el alcance de la violación y restaurar la integridad del sistema, o cuando las fuerzas del orden soliciten un retraso durante una investigación activa.

Requisitos de Notificación al Fiscal General

Cuando una violación afecta a 500 o más residentes de Oklahoma, la entidad también debe notificar al Fiscal General de Oklahoma dentro de 60 días después de proporcionar el aviso a las personas afectadas. Cuando una violación de un sistema de una agencia de informes crediticios afecta a 1,000 o más residentes, también se requiere la notificación a dicha agencia.

El aviso al Fiscal General debe incluir la fecha de la violación, la fecha en que la entidad determinó que ocurrió la violación, la naturaleza de la violación, los tipos de información personal comprometida, el número de residentes de Oklahoma afectados, el impacto monetario estimado si puede determinarse, y una descripción de las salvaguardas razonables que la entidad tenía vigentes.

Sanciones y Aplicación

El Fiscal General o un fiscal de distrito tienen autoridad exclusiva para iniciar una acción de aplicación conforme a la Ley, con una excepción prevista en el propio estatuto. Conforme al 24 O.S. Sección 165(D), una infracción cometida por una institución financiera constituida o autorizada por el estado es aplicable exclusivamente por el regulador estatal principal de esa institución. No existe un derecho de acción privado; las personas no pueden demandar por infracciones a la notificación de violaciones.

Las sanciones civiles están limitadas a $150,000 por violación para las entidades que violaron la Ley. Una entidad que no mantuvo salvaguardas razonables pero sí proporcionó un aviso oportuno no está sujeta a ese límite de $150,000. En su lugar, el 24 O.S. Sección 165(C)(2) la sujeta a "daños reales y una sanción civil de setenta y cinco mil dólares ($75,000.00)". Esa cifra de $75,000 es una sanción fija, no un máximo reducido.

La Defensa Afirmativa de Salvaguardas Razonables

La SB 626 introdujo lo que puede ser su disposición más importante para las empresas: la defensa afirmativa de "salvaguardas razonables". Una entidad que puede demostrar que implementó salvaguardas razonables antes de que ocurriera la violación, y que cumplió con todos los plazos de notificación establecidos por ley, puede evitar por completo las sanciones civiles.

El estatuto define las "salvaguardas razonables" como políticas y prácticas que garantizan que la información personal esté segura, considerando el tamaño de la entidad y el tipo y la cantidad de información personal que posee. Los ejemplos incluyen la realización de evaluaciones de riesgo, el mantenimiento de defensas técnicas y físicas por capas, la capacitación de empleados en seguridad de datos y contar con un plan de respuesta a incidentes.

Puerto Seguro para Entidades Reguladas

Las entidades ya sujetas a los requisitos de notificación de violaciones conforme a la Ley Gramm-Leach-Bliley (GLBA), la Ley de Protección de Ciberseguridad de Hospitales de Oklahoma o la HIPAA se consideran en cumplimiento de las disposiciones de notificación individual. Estas entidades aún deben proporcionar el aviso requerido al Fiscal General.

La Ley de Privacidad de Datos del Consumidor de Oklahoma (SB 546)

El 20 de marzo de 2026, el gobernador Kevin Stitt firmó la SB 546, creando la Ley de Privacidad de Datos del Consumidor de Oklahoma (OCDPA). La ley entra en vigor el 1 de enero de 2027, y añade una segunda capa de protección biométrica.

La OCDPA clasifica los datos biométricos como datos personales sensibles. Conforme a la Ley, "datos sensibles" incluye "datos genéticos o biométricos que se procesan con el fin de identificar de manera única a una persona". La ley especifica que los datos biométricos no incluyen fotografías, grabaciones de video o audio, ni datos generados a partir de esas grabaciones, a menos que dichos datos se generen específicamente para identificar a una persona en particular.

Requisitos de Consentimiento

Los responsables del tratamiento deben obtener el consentimiento afirmativo antes de procesar datos biométricos. La OCDPA define el consentimiento válido como "una declaración escrita por medios electrónicos, o cualquier otra acción afirmativa e inequívoca". El consentimiento no puede obtenerse mediante la aceptación general de términos de servicio ni mediante patrones oscuros (dark patterns).

Este es un estándar más alto que el de la ley de notificación de violaciones, que no aborda el consentimiento en absoluto. A partir de 2027, cualquier empresa que recopile datos biométricos de consumidores de Oklahoma necesitará el consentimiento afirmativo, no solo el deber de reportar violaciones.

Derechos del Consumidor

Los residentes de Oklahoma obtienen el derecho a acceder, corregir y eliminar sus datos biométricos, obtener una copia de ellos, y excluirse de la publicidad dirigida o la elaboración de perfiles basada en esos datos. Los responsables del tratamiento deben responder dentro de 45 días, con una extensión permitida de 45 días adicionales. Los consumidores pueden apelar las solicitudes denegadas.

Aplicabilidad y Aplicación

La OCDPA se aplica a las entidades que realizan negocios en Oklahoma o se dirigen a residentes de Oklahoma y que controlan o procesan datos personales de al menos 100,000 consumidores de Oklahoma, o al menos 25,000 consumidores cuando más del 50% de los ingresos brutos provienen de la venta de datos personales.

El Fiscal General tiene autoridad exclusiva de aplicación. Las sanciones alcanzan hasta $7,500 por infracción después de un período obligatorio de subsanación de 30 días.

Estándares Biométricos de las Agencias Estatales de Oklahoma

Las agencias estatales de Oklahoma operan conforme a un Estándar de Seguridad de Datos Biométricos separado, publicado por la Oficina de Servicios de Gestión y Empresariales (OMES). Entró en vigor el 12 de agosto de 2021 y fue revisado por última vez el 12 de febrero de 2025.

El estándar exige que las agencias estatales no recopilen datos biométricos sin el consentimiento previo de la persona. Ese consentimiento debe informar a la persona sobre por qué se recopila la información biométrica y proporcionar detalles sobre las prácticas de recopilación, almacenamiento y uso.

Las agencias tienen prohibido vender, arrendar, comerciar o de otro modo obtener ganancias de los datos biométricos de una persona. Tampoco pueden divulgar o difundir los identificadores biométricos, a menos que la ley lo exija. Todos los datos biométricos deben estar encriptados en reposo y en tránsito, cumpliendo con los estándares NIST FIPS 140-2.

La Disposición de Datos Biométricos de la REAL ID

Oklahoma tiene una de las posturas más firmes del país sobre los datos biométricos en el contexto de la identificación gubernamental. Conforme al 47 O.S. Sección 6-110.3, promulgado en 2007, el estado prohíbe compartir los datos biométricos recopilados durante el proceso de licencia de conducir con el gobierno federal, excepto según lo estrictamente exigido por la Ley REAL ID de 2005.

Este estatuto contiene su propia definición amplia de datos biométricos: datos de voz, datos de reconocimiento de iris, escaneos de retina, huellas dactilares y de palma, características conductuales de las firmas manuscritas, dinámica de pulsaciones de teclas, geometría de la mano, y ADN/ARN.

A principios de 2026, los legisladores de Oklahoma presentaron una demanda para bloquear la transferencia de datos de identificación personal a una base de datos nacional de REAL ID, continuando la resistencia del estado a la recopilación federal de datos biométricos.

Cómo se Compara con Otros Estados

Las protecciones biométricas de Oklahoma se ubican en un nivel medio a nivel nacional. El estado carece de una ley de privacidad biométrica independiente con derecho de acción privado como la BIPA de Illinois o un estatuto biométrico aplicado por el Fiscal General como la CUBI de Texas.

Las enmiendas de la SB 626 y la próxima OCDPA mueven a Oklahoma de un estado con casi ninguna protección biométrica a uno con salvaguardas significativas, si no líderes.

Lo que Deben Saber los Empleadores y las Empresas

Las empresas de Oklahoma que recopilan datos biométricos, ya sea para el control de tiempo de los empleados, el acceso a edificios, la verificación de clientes o cualquier otro propósito, enfrentan un panorama de cumplimiento cambiante.

En este momento (2026): La ley de notificación de violaciones exige salvaguardas razonables para los datos biométricos y una notificación oportuna si ocurre una violación. No existe un requisito de consentimiento conforme a la ley estatal para la recopilación biométrica del sector privado. El estándar de la OMES vincula a las agencias estatales y a sus empleados, no a los contratistas privados, y en cuanto a los proveedores establece justamente lo contrario: un proveedor puede administrar los dispositivos de identificación biométrica y el software que utilizan, pero la recopilación, el almacenamiento, el manejo y la destrucción de los datos deben ser realizados por la propia agencia.

A partir del 1 de enero de 2027: La OCDPA exigirá el consentimiento afirmativo antes de procesar datos biométricos para las empresas que cumplan con los umbrales de aplicabilidad. Las empresas deben comenzar a construir mecanismos de consentimiento y procesos de inventario de datos ahora.

Los pasos prácticos incluyen documentar qué datos biométricos se recopilan y por qué, implementar controles de encriptación y acceso que cumplan con los estándares de salvaguardas razonables, establecer un plan de respuesta a violaciones que cumpla con el plazo de notificación de 60 días al Fiscal General, y preparar flujos de trabajo de consentimiento para la fecha de vigencia de la OCDPA en enero de 2027.

Más Leyes de Oklahoma

• Leyes de Grabación de Reuniones con IA de Oklahoma
• Leyes de Pensión Alimenticia de Oklahoma
• Leyes de Empleo a Voluntad de Oklahoma
• Leyes de Accidentes de Auto de Oklahoma
• Leyes de Asientos de Seguridad para Niños de Oklahoma
• Leyes de Custodia de los Hijos de Oklahoma
• Leyes de Manutención de los Hijos de Oklahoma
• Leyes de Matrimonio de Hecho de Oklahoma
• Leyes de Deepfake de Oklahoma
• Leyes de Divorcio de Oklahoma
• Leyes de Mordedura de Perro de Oklahoma
• Leyes de Emancipación de Oklahoma
• Leyes de Eliminación de Antecedentes de Oklahoma
• Leyes de Atropello y Fuga de Oklahoma
• Leyes de Propietarios e Inquilinos de Oklahoma
• Leyes Limón de Oklahoma

Este artículo proporciona información legal general sobre las leyes de privacidad biométrica de Oklahoma. No constituye asesoría legal. Si necesita orientación sobre la recopilación, el almacenamiento o las obligaciones de cumplimiento de datos biométricos en Oklahoma, consulte a un abogado calificado con licencia en el estado.

Relacionado: Leyes de Privacidad de Datos de Oklahoma | Leyes de Notificación de Violación de Datos de Oklahoma | Leyes de Privacidad de Datos por Estado

Preguntas frecuentes

¿Oklahoma tiene una ley de privacidad biométrica como la BIPA de Illinois?

No. Oklahoma no cuenta con un estatuto de privacidad biométrica independiente con derecho de acción privado. Los datos biométricos están protegidos mediante la Ley de Notificación de Violación de Seguridad (24 O.S. 161-166, modificada por la SB 626) y la Ley de Privacidad de Datos del Consumidor de Oklahoma (SB 546, vigente desde el 1 de enero de 2027). Ninguna de las dos leyes permite a las personas demandar directamente por infracciones a la privacidad biométrica.

¿Puede mi empleador recopilar mis huellas dactilares en Oklahoma sin mi consentimiento?

Conforme a la ley actual de Oklahoma (2026), no existe un estatuto estatal que exija específicamente a los empleadores privados obtener consentimiento antes de recopilar datos biométricos. Sin embargo, la OCDPA exigirá el consentimiento afirmativo para procesar datos biométricos a partir del 1 de enero de 2027, para las empresas que cumplan con los umbrales de aplicabilidad de la ley. Las agencias estatales ya deben obtener el consentimiento previo conforme al Estándar de Seguridad de Datos Biométricos de la OMES.

¿Qué sucede si una empresa pierde mis datos biométricos en una violación de datos?

Conforme a la Ley de Notificación de Violación de Seguridad, modificada por la SB 626, la empresa debe notificarle sin demora injustificada. Si la violación afecta a 500 o más residentes de Oklahoma, la empresa también debe notificar al Fiscal General dentro de 60 días. El Fiscal General o un fiscal de distrito pueden iniciar una acción de aplicación con sanciones civiles de hasta $150,000 por violación, salvo que la empresa sea una institución financiera constituida o autorizada por el estado, en cuyo caso la aplica su regulador estatal principal.

¿Qué datos biométricos están protegidos conforme a la ley de Oklahoma?

La ley de notificación de violaciones cubre los 'datos biométricos únicos, como una huella dactilar, una imagen de retina o iris, u otra representación física o digital única de datos biométricos' usados para autenticar a una persona específica. El estatuto de la REAL ID (47 O.S. 6-110.3) usa una definición más amplia que incluye datos de voz, reconocimiento de iris, escaneos de retina, huellas dactilares, huellas de palma, dinámica de pulsaciones de teclas, geometría de la mano y ADN/ARN.

¿Puedo presentar una demanda si alguien hace mal uso de mis datos biométricos en Oklahoma?

La ley de Oklahoma no proporciona un derecho de acción privado para las infracciones de privacidad biométrica. La aplicación recae en el Fiscal General, junto con los fiscales de distrito conforme a la ley de notificación de violaciones, y en el regulador estatal principal cuando el infractor es una institución financiera constituida o autorizada por el estado. Puede presentar una queja ante el Fiscal General de Oklahoma, lo que puede dar lugar a una investigación y una acción de aplicación.