South Dakota
Leyes de Privacidad de Datos de Dakota del Sur: Notificación de Violaciones y Derechos del Consumidor (2026)
Verificado de forma independiente contra fuentes primarias (última auditoría: 14 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 14 de agosto de 2026. · 21 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
Dakota del Sur no cuenta con una ley integral de privacidad de datos del consumidor. La principal herramienta de protección de datos del estado, , exige que las empresas notifiquen a los residentes afectados dentro de 60 días desde una violación de datos y que reporten los incidentes que afecten a más de 250 residentes al Fiscal General.
Dakota del Sur adopta un enfoque específico para la regulación de la privacidad de datos en lugar de promulgar un único estatuto integral de privacidad del consumidor. La principal herramienta de protección de datos del estado es su Ley de Notificación de Violación de Datos, codificada en a 22-40-26, que entró en vigor el 1 de julio de 2018.
Dakota del Sur fue el estado número 49 en aprobar una ley de notificación de violaciones. Si bien el estado no ha adoptado una ley integral de privacidad comparable a las de California, Colorado o Virginia, aplica la protección de datos a través de sus requisitos de notificación de violaciones, sus estatutos de protección al consumidor, una nueva ley de privacidad de datos genéticos y marcos regulatorios federales que aplican a las empresas en todos los estados.
Esta guía cubre cada estatuto de privacidad de datos de Dakota del Sur actualmente vigente, los desarrollos legislativos de 2026 que agregaron nuevas protecciones, los marcos federales que aplican a las empresas y residentes de Dakota del Sur, y pasos prácticos tanto para consumidores como para organizaciones.
Ley de Notificación de Violación de Datos de Dakota del Sur (SDCL 22-40-19 a 22-40-26)
La Ley de Notificación de Violación de Datos de Dakota del Sur se estableció mediante el Proyecto de Ley del Senado 62, firmado el 21 de marzo de 2018 y vigente desde el 1 de julio de 2018. El gobernador Dennis Daugaard firmó la legislación después de que Dakota del Sur pasara años siendo uno de solo dos estados sin requisitos de notificación de violaciones.
Quién debe cumplir
La ley aplica a cualquier "titular de información": toda persona o empresa que realice negocios en Dakota del Sur y que sea propietaria o tenga licencia de información personal o protegida computarizada de residentes de Dakota del Sur. Las empresas con sede fuera del estado deben cumplir si poseen datos pertenecientes a residentes de Dakota del Sur.
Las agencias gubernamentales, organizaciones sin fines de lucro, proveedores de atención médica, instituciones financieras y organizaciones educativas que operan en Dakota del Sur están todas sujetas a este requisito, salvo que estén sujetas a reglas federales de notificación más estrictas.
Qué constituye una violación
Según SDCL 22-40-19, una "violación de la seguridad del sistema" es la adquisición no autorizada de datos computarizados no encriptados, o de datos computarizados encriptados junto con la clave de encriptación, que compromete materialmente la seguridad, confidencialidad o integridad de la información personal o protegida. Una adquisición de buena fe por parte de un empleado o agente no constituye una violación, siempre que la información no se use de forma indebida ni se divulgue posteriormente.
Categorías de información protegida
La ley de Dakota del Sur protege dos categorías distintas de información.
Información Personal requiere el primer nombre o la inicial del primer nombre y el apellido de una persona, en combinación con uno o más de: número de Seguro Social; número de licencia de conducir o identificación emitida por el gobierno; número de cuenta, tarjeta de crédito o débito combinado con cualquier código de seguridad o PIN requerido; información de salud según la definición de HIPAA; o un número de identificación asignado por el empleador combinado con un código de seguridad requerido o datos de autenticación biométrica.
Información Protegida se considera de forma independiente sin requerir la combinación con un nombre e incluye: un nombre de usuario o dirección de correo electrónico combinado con una contraseña o respuesta de seguridad que permita el acceso a una cuenta en línea; o un número de cuenta o de tarjeta de crédito/débito combinado con cualquier código de seguridad que permita el acceso a una cuenta financiera.
La ley excluye la información obtenida legalmente de registros gubernamentales disponibles públicamente y los datos que hayan sido redactados o modificados para volverlos inutilizables.
El plazo de notificación de 60 días
Una vez que un titular de información descubre o es notificado de una violación, debe divulgarlo a cualquier residente afectado de Dakota del Sur cuya información personal o protegida fue, o se cree razonablemente que fue, adquirida por una persona no autorizada. Esta divulgación debe ocurrir a más tardar 60 días después del descubrimiento o de la notificación de la violación. Varios otros estados usan un lenguaje más vago, como "sin demora injustificada", lo que hace que el requisito de Dakota del Sur sea más predecible para las empresas.
Métodos de notificación
Los titulares de información pueden proporcionar notificaciones de violación a través de varios canales según SDCL 22-40-22: aviso escrito a la dirección postal del individuo afectado; aviso electrónico conforme a la Ley Federal E-SIGN; o aviso sustituto cuando el costo de la notificación directa excede $250,000, la clase afectada excede 500,000 personas, o el titular de información carece de información de contacto suficiente. El aviso sustituto requiere los tres elementos: aviso por correo electrónico, publicación visible en el sitio web y notificación a los medios de comunicación estatales.
El estatuto no prescribe requisitos de contenido específicos para el aviso en sí, pero el titular de información debe notificar a las agencias nacionales de reporte de crédito al consumidor sobre el momento, la distribución y el contenido de los avisos enviados a los individuos afectados.
Notificación al Fiscal General
Según SDCL 22-40-20, cualquier titular de información que experimente una violación que afecte a más de 250 residentes de Dakota del Sur debe divulgar la violación al Fiscal General de Dakota del Sur por correo postal o electrónico. La notificación debe incluir los detalles de la violación y el alcance de los individuos afectados.
Demora por aplicación de la ley y evaluación de daño
La notificación puede retrasarse si una agencia de aplicación de la ley determina que impediría una investigación criminal. Una vez que las autoridades autorizan el fin de la demora, el titular de información debe emitir las notificaciones dentro de 30 días. No existe una postergación indefinida.
Dakota del Sur también permite que un titular de información se abstenga de notificar si, después de una investigación adecuada, determina razonablemente que la violación probablemente no resultará en daño a los individuos afectados. Esa determinación debe documentarse por escrito y conservarse por al menos tres años. El Fiscal General debe ser notificado de la determinación incluso cuando no se envíe el aviso individual.
Puerto seguro de encriptación
Los datos encriptados generalmente están exentos de los requisitos de notificación. Sin embargo, el puerto seguro no aplica si la clave de encriptación también fue comprometida en la violación. Si una parte no autorizada obtiene tanto los datos encriptados como la clave de desencriptación, aplican las obligaciones completas de notificación.
Exención por cumplimiento federal
Las entidades reguladas por la ley federal, incluidas aquellas sujetas a HIPAA o a la Ley Gramm-Leach-Bliley, se consideran en cumplimiento con los requisitos de notificación de violaciones de Dakota del Sur si mantienen procedimientos de notificación de violaciones conforme a las reglas de su regulador federal principal y notifican a los residentes afectados de Dakota del Sur conforme a la ley federal aplicable.
Sanciones por violaciones a la notificación de infracciones
Según SDCL 22-40-25, el incumplimiento se clasifica como un acto o práctica engañosa según la Ley de Prácticas Comerciales Engañosas y Protección al Consumidor de Dakota del Sur (SDCL 37-24). El Fiscal General puede recuperar sanciones civiles de hasta $10,000 por día por cada violación, más honorarios de abogados y costos.
No existe un derecho de acción privada. Solo el Fiscal General puede iniciar procedimientos de aplicación de la ley.
Ley de Prácticas Comerciales Engañosas y Protección al Consumidor de Dakota del Sur (SDCL 37-24)
La Ley de Prácticas Comerciales Engañosas y Protección al Consumidor sirve como una capa adicional de aplicación de la privacidad de datos. Es ilegal que una empresa participe en actos o prácticas engañosas, lo que puede incluir tergiversar las medidas de seguridad de datos, no cumplir con las políticas de privacidad, o hacer afirmaciones falsas sobre cómo se protegen los datos del consumidor.
El Fiscal General aplica este estatuto cuando se considera que una acción es de interés público. Las sanciones por violaciones intencionales incluyen multas civiles de hasta $2,000 por violación. Los consumidores afectados adversamente pueden iniciar acciones privadas para recuperar daños reales. Debido a que las fallas en la notificación de violaciones se clasifican como prácticas engañosas, el Fiscal General puede procesar a los infractores tanto según como según este marco más amplio de protección al consumidor.
Ley de Privacidad de Datos Genéticos de Dakota del Sur (SB 49, 2026)
El gobernador Larry Rhoden firmó el Proyecto de Ley del Senado 49 el 30 de marzo de 2026. La ley entra en vigor el 1 de julio de 2026 y fue impulsada por el Fiscal General Marty Jackley, quien afirmó que la acción multiestatal de 2025 contra la venta de datos genéticos de 23andMe en el marco de su quiebra influyó directamente en la redacción del proyecto.
La SB 49 fue aprobada por la Cámara en pleno con un voto de 65-2 y por el Senado con 34-0, antes de que el gobernador la firmara.
A quién cubre la SB 49
La ley aplica a las "empresas de pruebas genéticas directas al consumidor": cualquier entidad que ofrezca productos o servicios de pruebas genéticas directamente a los consumidores, o que analice, recopile o use datos genéticos recopilados a través de un producto o servicio de pruebas genéticas directas al consumidor. Las entidades cubiertas por HIPAA y sus asociados comerciales están expresamente exentos, al igual que los datos genéticos utilizados para exámenes médicos, diagnóstico o tratamiento en hospitales e instalaciones afiliadas.
Requisitos clave
Las empresas cubiertas deben publicar un aviso de privacidad prominente y de acceso público que divulgue sus prácticas de recopilación, divulgación, uso, retención y seguridad de datos. El aviso debe indicar específicamente si los datos genéticos anonimizados se comparten o divulgan con terceros para fines de investigación.
Las empresas deben proporcionar un proceso que permita a los consumidores acceder a su cuenta y a sus datos genéticos, y solicitar la eliminación de su cuenta o la destrucción de su muestra biológica.
Sanciones
Las sanciones civiles según la SB 49 no pueden exceder los $5,000 por violación. La autoridad de aplicación recae en el Fiscal General.
El Fiscal General Jackley y la acción contra 23andMe
En junio de 2025, el Fiscal General Jackley se unió a una coalición de 27 estados en una demanda que buscaba impedir que 23andMe vendiera los datos genéticos de sus clientes como parte del proceso de quiebra de la empresa. La coalición argumentó que los clientes no habían consentido la venta de su información de ADN a un comprador externo. La acción multiestatal de 2025 fue el impulso directo para que Jackley propusiera la SB 49 en la sesión legislativa de 2026.
Sesión legislativa 2026: redes sociales y otros proyectos de ley
SB 111: Transparencia de Datos en Redes Sociales (Promulgada)
El gobernador Larry Rhoden firmó el Proyecto de Ley del Senado 111 el 10 de marzo de 2026. La ley aplica únicamente a los servicios de redes sociales con más de 100 millones de usuarios activos mensuales cuyo enfoque principal no sea caritativo o religioso, y no entra en vigor hasta el 1 de julio de 2027. Una vez vigente, las plataformas cubiertas deberán proporcionar a los usuarios sus datos personales recopilados cuando lo soliciten y mantener interfaces de interoperabilidad transparentes. Fue aprobada por el Senado con 34-0.
Las disposiciones clave incluyen: reportes de fácil comprensión sobre las prácticas de recopilación de datos; el derecho a solicitar y recibir todos los datos personales que una empresa de redes sociales haya recopilado; control del consumidor sobre cómo se utiliza su información personal; y requisitos de transparencia para la interoperabilidad de datos.
SB 110: Privacidad de Datos de Proveedores de Servicios de Internet (Fallida)
El senador Rohl también presentó la SB 110, que habría restringido a los proveedores de servicios de internet el uso o la transferencia de datos de clientes sin el permiso explícito del consumidor, salvo que fuera necesario para prestar el servicio. El proyecto inicialmente fue rechazado 5-3 en el Comité de Asuntos Estatales del Senado el 11 de febrero de 2026, pero el Senado lo recuperó del comité, lo llevó al calendario del pleno y lo aprobó 28-6. La SB 110 murió posteriormente en el Comité de Comercio de la Cámara el 2 de marzo de 2026, cuando una moción para aprobar el proyecto fue rechazada 3-9 y una moción para postergarlo al inexistente «día 41» de la legislatura (una maniobra procesal para matarlo) fue aprobada 10-2.
HB 1275: Verificación de Edad en Tiendas de Aplicaciones (Fallida)
El Proyecto de Ley de la Cámara 1275 habría exigido que los proveedores de tiendas de aplicaciones implementaran verificación de edad y obtuvieran el consentimiento de los padres para menores. Fue aprobado por la Cámara con 50-17, pero fue rechazado 5-4 en el Comité de Asuntos Estatales del Senado. Los opositores señalaron que el proyecto era casi idéntico a la SB 2420 de Texas, que un tribunal federal bloqueó en diciembre de 2025 por considerarla inconstitucional.
Seguridad de Datos de Seguros en Dakota del Sur
La División de Seguros de Dakota del Sur regula a las compañías y agentes de seguros según el Título 58 de las Leyes Codificadas de Dakota del Sur. Dakota del Sur no ha adoptado la Ley Modelo de Seguridad de Datos de Seguros de la NAIC. El Capítulo 58-43 de SDCL se titula «Auditoría Independiente de Aseguradoras» y cubre requisitos de auditoría de reportes financieros, no de seguridad de datos. El propio rastreador de adopción de la ley modelo de la NAIC clasifica a Dakota del Sur únicamente bajo «actividad relacionada», remitiendo a una regla administrativa más antigua, S.D. Admin. R. 20:06:45:20 a 20:06:45:26 (2004), en lugar de la adopción de la ley modelo vigente. A falta de un estatuto específico de seguridad de datos de seguros, las aseguradoras de Dakota del Sur permanecen sujetas a la Ley de Notificación de Violación de Datos general (SDCL 22-40), y las aseguradoras que cumplen con los requisitos de la GLBA según su regulador federal principal se consideran en cumplimiento de dicha ley según su exención por cumplimiento federal.
Las aseguradoras que cumplen con los requisitos de la GLBA según su regulador federal principal se consideran en cumplimiento con las disposiciones de notificación de violaciones de Dakota del Sur según la exención por cumplimiento federal en SDCL 22-40.
Ley de Delitos Informáticos de Dakota del Sur (SDCL 43-43B)
La Ley de Delitos Informáticos de Dakota del Sur tipifica como delito el acceso no autorizado a sistemas informáticos, la manipulación de datos y la introducción de programas maliciosos. La ley establece una estructura de sanciones graduada según SDCL 43-43B-3: el acceso no autorizado básico a un sistema informático es un delito menor de Clase 1; acceder a datos confidenciales, o copiar, obtener o divulgar códigos de acceso sin autorización, es un delito grave de Clase 6; interrumpir o denegar el acceso a software o datos es un delito grave de Clase 5; interrumpir o denegar el acceso a un sistema informático, o modificar datos, es un delito grave de Clase 4; y los delitos más graves, incluida la destrucción o inhabilitación de un sistema informático o de datos y el uso de engaño para obtener dinero, bienes o servicios, se procesan como delitos graves de Clase 3 o Clase 2.
El estatuto de delitos informáticos complementa la ley civil de notificación de violaciones al establecer consecuencias penales para las personas que perpetran violaciones de datos.
Marcos federales de privacidad aplicables en Dakota del Sur
Debido a que Dakota del Sur carece de una ley integral de privacidad estatal, los marcos federales tienen un peso particular para las empresas y residentes dentro del estado.
Ley TAKE IT DOWN (Ley Pública 119-12, 2025)
El presidente Trump firmó la Ley TAKE IT DOWN el 19 de mayo de 2025. La ley representa las siglas en inglés de "Herramientas para Abordar la Explotación Conocida al Inmovilizar Deepfakes Tecnológicos en Sitios Web y Redes".
La prohibición penal contra la publicación de imágenes íntimas no consentidas, incluidos los deepfakes generados por IA, entró en vigor inmediatamente al firmarse. La obligación de notificación y eliminación de las plataformas, que exige que las plataformas cubiertas eliminen dichas imágenes dentro de 48 horas de una solicitud válida, se volvió exigible por la FTC el 19 de mayo de 2026. Las plataformas que no implementen procesos de notificación y eliminación conformes enfrentan acciones de aplicación de la FTC y sanciones civiles de hasta $53,088 por violación.
Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA)
Los proveedores de atención médica, planes de salud, cámaras de compensación de atención médica y sus asociados comerciales en Dakota del Sur deben cumplir con las Reglas de Privacidad y Seguridad de HIPAA. Las entidades de atención médica de Dakota del Sur que cumplen con los requisitos de notificación de violaciones de HIPAA satisfacen las obligaciones de notificación del estado según la exención por cumplimiento federal en SDCL 22-40.
Ley Gramm-Leach-Bliley (GLBA)
Las instituciones financieras en Dakota del Sur deben cumplir con la Regla de Salvaguardas de la GLBA. La Regla de Salvaguardas actualizada de la FTC, vigente desde junio de 2023, fortaleció los requisitos para evaluaciones de riesgo, controles de acceso, encriptación y planes de respuesta a incidentes.
Ley de Protección de la Privacidad Infantil en Línea (COPPA)
Las empresas y sitios web que recopilan información de niños menores de 13 años deben cumplir con COPPA, que exige el consentimiento parental verificable antes de recopilar información personal de menores.
Ley de Derechos Educativos y Privacidad Familiar (FERPA)
Las instituciones educativas de Dakota del Sur que reciben fondos federales deben cumplir con FERPA, que protege la privacidad de los registros educativos de los estudiantes.
Sección 5 de la Ley de la FTC
La FTC puede tomar acciones contra empresas que participen en prácticas desleales o engañosas relacionadas con la privacidad y seguridad de datos según la Sección 5 de la Ley de la FTC. Las empresas de Dakota del Sur están sujetas a la aplicación de la FTC incluso sin una ley integral de privacidad estatal.
Ley de Derechos de Privacidad Estadounidense (APRA)
El Congreso presentó un proyecto de ley federal bipartidista e integral sobre privacidad (APRA, H.R. 8818) en junio de 2024. El proyecto no fue aprobado por el Congreso 118 y expiró en enero de 2025. No ha sido reintroducido en el Congreso 119 hasta mayo de 2026. No existe una ley federal integral de privacidad del consumidor vigente.
Qué deben hacer los consumidores después de una violación de datos
La División de Protección al Consumidor de Dakota del Sur proporciona orientación para los residentes que reciben cartas de notificación de violaciones. Una violación de seguridad no resulta automáticamente en robo de identidad, pero actuar con prontitud reduce el riesgo.
Si su número de Seguro Social fue comprometido: contacte a una de las tres agencias de reporte de crédito (Experian, Equifax o TransUnion) para colocar una alerta de fraude; solicite y revise sus reportes de crédito; contacte a la Administración del Seguro Social al 1-800-772-1213; y considere colocar un congelamiento de seguridad en las tres agencias de crédito.
Si sus cuentas financieras existentes fueron comprometidas: monitoree de cerca los estados de cuenta; reporte las transacciones no autorizadas de inmediato al emisor de su tarjeta; y solicite nuevos números de cuenta y credenciales.
Para la recuperación por robo de identidad, la oficina del Fiscal General de Dakota del Sur dirige a los consumidores hacia IdentityTheft.gov de la Comisión Federal de Comercio para obtener planes de recuperación paso a paso.
Dakota del Sur frente a estados con leyes integrales de privacidad
| Característica | Dakota del Sur | Estados con leyes integrales (p. ej., CA, VA, CO) |
|---|---|---|
| Ley integral de privacidad | No | Sí |
| Derecho de acceso a datos personales | Limitado (plataformas de redes sociales de SB 111 con 100M+ usuarios, vigente desde el 1 de julio de 2027; SB 49 datos genéticos) | Amplio en todas las empresas |
| Derecho de eliminación de datos personales | Solo datos genéticos (SB 49) | Sí (general) |
| Derecho a optar por no participar en la venta de datos | No | Sí |
| Plazo de notificación de violaciones | 60 días | Varía (30-90 días) |
| Umbral de notificación al Fiscal General | 250+ residentes | Varía (500-1,000+) |
| Derecho de acción privada | No (ley de violaciones) | Varía según el estado |
| Sanción máxima por violación | $10,000/día (violaciones); $5,000 (datos genéticos) | Varía ($2,500-$7,500+) |
Más leyes de Dakota del Sur
- Leyes de Grabación con IA en Reuniones de Dakota del Sur
- Leyes de Pensión Alimenticia de Dakota del Sur
- Leyes de Empleo a Voluntad de Dakota del Sur
- Leyes de Accidentes de Auto de Dakota del Sur
- Leyes de Asientos de Auto de Dakota del Sur
- Leyes de Custodia de Menores de Dakota del Sur
- Leyes de Manutención de Menores de Dakota del Sur
- Leyes de Matrimonio de Hecho de Dakota del Sur
- Leyes de Deepfake de Dakota del Sur
- Leyes de Divorcio de Dakota del Sur
- Leyes de Mordeduras de Perro de Dakota del Sur
- Leyes de Emancipación de Dakota del Sur
- Leyes de Eliminación de Antecedentes de Dakota del Sur
- Leyes de Choque y Fuga de Dakota del Sur
- Leyes de Propietarios e Inquilinos de Dakota del Sur
- Leyes del Limón de Dakota del Sur
Preguntas frecuentes
¿Dakota del Sur tiene una ley integral de privacidad de datos del consumidor?
No. Hasta mayo de 2026, Dakota del Sur no cuenta con una ley integral de privacidad de datos del consumidor similar a la CCPA de California, la VCDPA de Virginia o la CPA de Colorado. El estado se apoya en su ley de notificación de violaciones de datos (SDCL 22-40-19 a 22-40-26), su nueva Ley de Privacidad de Datos Genéticos (SB 49, vigente desde el 1 de julio de 2026), estatutos de protección al consumidor y marcos federales. La SB 111, firmada en marzo de 2026, exigirá que los servicios de redes sociales con más de 100 millones de usuarios activos mensuales proporcionen a los usuarios sus datos recopilados cuando lo soliciten una vez que entre en vigor el 1 de julio de 2027, pero no crea derechos generales de privacidad para el consumidor.
¿Con qué rapidez debe una empresa notificar a los residentes de Dakota del Sur sobre una violación de datos?
Según SDCL 22-40-20, las empresas deben notificar a los residentes afectados de Dakota del Sur dentro de 60 días de descubrir o ser notificadas de una violación de datos, salvo que se necesite un plazo mayor por las necesidades legítimas de la aplicación de la ley conforme a SDCL 22-40-21. Si las autoridades solicitan una demora, la notificación debe ocurrir dentro de 30 días después de que las autoridades autoricen el fin de la demora. No existe una excepción que permita una postergación indefinida.
¿Cuáles son las sanciones por no reportar una violación de datos en Dakota del Sur?
El incumplimiento de la ley de notificación de violaciones de Dakota del Sur se trata como un acto engañoso según SDCL 37-24. El Fiscal General puede imponer sanciones civiles de hasta $10,000 por día por cada violación, más honorarios de abogados y costos judiciales. Solo el Fiscal General puede iniciar acciones de aplicación de la ley. No existe un derecho de acción privada que permita a los consumidores individuales demandar.
¿Cuándo debe una empresa notificar al Fiscal General de Dakota del Sur sobre una violación?
Según SDCL 22-40-20, cualquier titular de información debe notificar al Fiscal General de Dakota del Sur por correo postal o electrónico cuando una violación afecte a más de 250 residentes de Dakota del Sur. Para violaciones que afecten a menos de 250 residentes, no se requiere la notificación al Fiscal General, pero sí sigue siendo obligatoria la notificación a los individuos afectados y a las agencias de reporte de crédito.
¿La ley de notificación de violaciones de Dakota del Sur aplica a los datos encriptados?
Generalmente, no. Los datos encriptados están exentos porque la ley define una violación como aquella que involucra datos computarizados no encriptados. Sin embargo, este puerto seguro no aplica si la clave de encriptación también fue comprometida. Si una persona no autorizada obtiene tanto los datos encriptados como la clave de desencriptación, aplican los requisitos completos de notificación.
¿Qué es la Ley de Privacidad de Datos Genéticos de Dakota del Sur (SB 49)?
La Ley de Privacidad de Datos Genéticos de Dakota del Sur, firmada el 30 de marzo de 2026 y vigente desde el 1 de julio de 2026, regula a las empresas de pruebas genéticas directas al consumidor. Las empresas cubiertas deben publicar avisos de privacidad, permitir que los consumidores accedan y eliminen sus datos genéticos y muestras biológicas, y divulgar cuando los datos anonimizados se comparten con terceros para fines de investigación. Las sanciones civiles pueden alcanzar $5,000 por violación. Las entidades cubiertas por HIPAA y los hospitales están expresamente exentos.
¿Qué significa la Ley TAKE IT DOWN para los residentes de Dakota del Sur?
La Ley TAKE IT DOWN (Ley Pública 119-12), firmada el 19 de mayo de 2025, es una ley federal que tipifica como delito la publicación no consentida de imágenes íntimas, incluidos los deepfakes generados por IA. Aplica en los 50 estados, incluido Dakota del Sur. Las plataformas en línea cubiertas deben eliminar dichas imágenes dentro de 48 horas de una solicitud válida. La FTC comenzó a hacer cumplir las obligaciones de eliminación de las plataformas el 19 de mayo de 2026, con sanciones civiles de hasta $53,088 por violación.
Actualizaciones
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Se corrigieron cuatro citas de estatuto incorrectas: el deber de aviso en 60 días y el reporte al Fiscal General por 250 o más residentes están en SDCL 22-40-20 (no en 22-40-19, que solo contiene definiciones, ni en 22-40-24, que trata sobre el aviso a las agencias de reporte de crédito); la sanción de $10,000 por día está en SDCL 22-40-25 (no en 22-40-26, que es la exención por cumplimiento con reguladores federales). Se actualizó la lista de Fuentes para que coincida.
Ley aplicable revisada en busca de cambios recientes
Actualización de mayo de 2026: se agregó la Ley de Privacidad de Datos Genéticos de Dakota del Sur (SB 49, firmada el 30 de marzo de 2026, vigente desde el 1 de julio de 2026), que cubre a las empresas de pruebas genéticas directas al consumidor; se agregó la acción multiestatal del Fiscal General Jackley contra 23andMe de junio de 2025; se agregó la Ley TAKE IT DOWN (Ley Pública 119-12, firmada el 19 de mayo de 2025, aplicación de la FTC a las plataformas activa desde el 19 de mayo de 2026); se actualizó el estado de la APRA (expiró en enero de 2025, no reintroducida); se corrigió la sección de seguros tras confirmar que Dakota del Sur NO ha adoptado la Ley Modelo de Seguridad de Datos de Seguros de la NAIC (el Capítulo 58-43 de SDCL es un capítulo de auditoría de aseguradoras no relacionado; el rastreador de la NAIC clasifica a Dakota del Sur únicamente bajo actividad relacionada, citando S.D. Admin. R. 20:06:45:20 a 20:06:45:26); se ampliaron los Puntos Clave y las Preguntas Frecuentes para reflejar las nuevas leyes; se actualizó la tabla comparativa para reflejar el derecho de eliminación de la SB 49.
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en 4 disposiciones legales conservadas en nuestro propio registro jurídico, cada una obtenida de la fuente oficial. Toque una sección para leer el texto vigente.
South Dakota Codified Laws, Chapter 22-40: IDENTITY CRIMES
§ 22-40-19Definition of terms in §§ 22-40-19 to 22-40-26.Vigentecitada en 4 de nuestros artículos
Terms in §§ 22-40-19 to 22-40-26, inclusive, mean: (1) "Breach of system security," the unauthorized acquisition of unencrypted computerized data or encrypted computerized data and the encryption key by any person that materially compromises the security, confidentiality, or integrity of personal or protected information maintained by the information holder. The term does not include the good faith acquisition of personal or protected information by an employee or agent of the information holder for the purposes of the information holder if the personal or protected information is not used or subject to further unauthorized disclosure; (2) "Encrypted," computerized data that is rendered unusable, unreadable, or indecipherable without the use of a decryption process or key or in accordance with the Federal Information Processing Standard 140-2 in effect on January 1, 2018; (3) "Information holder," any person or business that conducts business in this state, and that owns or licenses computerized personal or protected information of residents of this state; (4) "Personal information," a person's first name or first initial and last name, in combination with any one or more of…
Texto oficial (extracto) · al 2026-07-30 · Lea la sección completa en sdlegislature.gov
§ 22-40-20Notice of breach of system security--Exception.Vigentecitada en 3 de nuestros artículos
Following the discovery by or notification to an information holder of a breach of system security an information holder shall disclose in accordance with § 22-40-22 the breach of system security to any resident of this state whose personal or protected information was, or is reasonably believed to have been, acquired by an unauthorized person. A disclosure under this section shall be made not later than sixty days from the discovery or notification of the breach of system security, unless a longer period of time is required due to the legitimate needs of law enforcement as provided under § 22-40-21. An information holder is not required to make a disclosure under this section if, following an appropriate investigation and notice to the attorney general, the information holder reasonably determines that the breach will not likely result in harm to the affected person. The information holder shall document the determination under this section in writing and maintain the documentation for not less than three years.
Texto oficial (extracto) · al 2026-07-30 · Lea la sección completa en sdlegislature.gov
§ 22-40-22Types of notice of breach of system security.Vigentecitada en 2 de nuestros artículos
A disclosure under § 22-40-20 may be provided by: (1) Written notice; (2) Electronic notice, if the electronic notice is consistent with the provisions regarding electronic records and signatures set forth in 15 U.S.C. § 7001 in effect as of January 1, 2018, or if the information holder's primary method of communication with the resident of this state has been by electronic means; or (3) Substitute notice, if the information holder demonstrates that the cost of providing notice would exceed two hundred fifty thousand dollars, that the affected class of persons to be notified exceeds five hundred thousand persons, or that the information holder does not have sufficient contact information and the notice consists of each of the following: (a) Email notice, if the information holder has an email address for the subject persons; (b) Conspicuous posting of the notice on the information holder's website, if the information holder maintains a website page; and (c) Notification to statewide media.
Texto oficial (extracto) · al 2026-07-30 · Lea la sección completa en sdlegislature.gov
§ 22-40-25Prosecution for violations.Vigentecitada en 3 de nuestros artículos
The attorney general may prosecute each failure to disclose under the provisions of §§ 22-40-19 to 22-40-26, inclusive, as a deceptive act or practice under § 37-24-6. In addition to any remedy provided under chapter 37-24, the attorney general may bring an action to recover on behalf of the state a civil penalty of not more than ten thousand dollars per day per violation. The attorney general may recover attorney's fees and any costs associated with any action brought under this section.
Texto oficial (extracto) · al 2026-07-30 · Lea la sección completa en sdlegislature.gov
Explore la ley
Este artículo también se apoya en estas leyes y capítulos (abriendo en su primera sección): South Dakota Codified Laws, Chapter 22-40: IDENTITY CRIMES § 22-40-1 (Impersonation with intent to deceive law enforcement officer--Misdemeanor.)
Leyes relacionadas para lectura adicional; no forman parte de las citas de este artículo.
Fuentes y referencias
- Leyes Codificadas de Dakota del Sur Capítulo 22-40: Notificación de Violación de Datos(sdlegislature.gov).gov
- SDCL 22-40-19: Definiciones para la Notificación de Violación de Datos(sdlegislature.gov).gov
- SDCL 22-40-22: Métodos de Notificación(sdlegislature.gov).gov
- SDCL 22-40-20: Notificación de Violación de la Seguridad del Sistema (Plazo de 60 Días; Notificación al Fiscal General)(sdlegislature.gov).gov
- SDCL 22-40-25: Procesamiento por Violaciones; Sanciones Civiles(sdlegislature.gov).gov
- SB 62 (2018): Ley de Notificación de Violación de Datos de Dakota del Sur (Texto Completo del Proyecto)(mylrc.sdlegislature.gov).gov
- SB 49 (2026): Ley de Privacidad de Datos Genéticos de Dakota del Sur(sdlegislature.gov).gov
- SB 111 (2026): Ley de Transparencia de Datos en Redes Sociales(sdlegislature.gov).gov
- Protección al Consumidor de Dakota del Sur: Violaciones de Seguridad(consumer.sd.gov).gov
- Protección al Consumidor de Dakota del Sur: Leyes(consumer.sd.gov).gov
- Ley de Prácticas Comerciales Engañosas y Protección al Consumidor (SDCL 37-24)(consumer.sd.gov).gov
- Ley de Delitos Informáticos de Dakota del Sur (SDCL 43-43B)(sdlegislature.gov).gov
- División de Seguros de Dakota del Sur: Leyes, Reglas y Boletines(dlr.sd.gov).gov
- Departamento de Educación de Dakota del Sur: FERPA(doe.sd.gov).gov
- FTC: Información sobre la Aplicación de la Ley TAKE IT DOWN(ftc.gov).gov
- FTC: La Aplicación de la Ley Take It Down Comienza Ahora (Mayo de 2026)(ftc.gov).gov
- HHS: HIPAA para Profesionales(hhs.gov).gov
- FTC: Ley Gramm-Leach-Bliley(ftc.gov).gov
- FTC: COPPA(ftc.gov).gov
- FTC: Ley de la Comisión Federal de Comercio(ftc.gov).gov
- IdentityTheft.gov(identitytheft.gov).gov
- Hunton: Dakota del Sur Promulga la Ley de Privacidad de Datos Genéticos (Abril de 2026)(hunton.com)