South Dakota
Leyes de Privacidad Biométrica de Dakota del Sur: Recopilación, Consentimiento y Sanciones (2026)
Verificado de forma independiente contra fuentes primarias (última auditoría: 15 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 15 de agosto de 2026. · 7 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
Dakota del Sur no tiene una ley dedicada de privacidad biométrica ni requisitos de consentimiento para la recopilación de identificadores biométricos como huellas dactilares, escaneos faciales o huellas de voz. El estatuto de notificación de violaciones del estado, SDCL 22-40-20, ofrece la principal protección para esos identificadores, exigiendo que las empresas notifiquen a los residentes dentro de 60 días cuando una violación expone datos de autenticación biométrica. Los datos genéticos son la única excepción: SDCL 37-24-59 a 37-24-64 imponen obligaciones de consentimiento expreso a las empresas de pruebas genéticas dirigidas directamente al consumidor.
Dakota del Sur adopta un enfoque mínimo respecto a la regulación de la privacidad biométrica. A diferencia de estados como Illinois o Texas, que han promulgado estatutos específicos de privacidad biométrica, Dakota del Sur solo brinda protección de datos biométricos a través de su ley de notificación de violaciones de datos.
Esto significa que las empresas que operan en Dakota del Sur pueden recopilar, almacenar y usar datos biométricos, como huellas dactilares, plantillas de reconocimiento facial y huellas de voz, sin obtener el consentimiento de los individuos. La protección solo entra en vigor después de que ya haya ocurrido una violación de seguridad.
Para una visión más amplia de las protecciones de privacidad en el estado, consulte la guía principal sobre las Leyes de Privacidad de Datos de Dakota del Sur.
Cómo define la ley de Dakota del Sur los datos biométricos
El estatuto de notificación de violaciones de Dakota del Sur, SDCL 22-40-19, define los datos biométricos como datos generados a partir de mediciones o análisis de características corporales humanas con fines de autenticación. Esta definición aparece dentro de la definición más amplia de "información personal" que activa los requisitos de notificación de violaciones.
Según el estatuto, los datos biométricos están protegidos cuando aparecen en combinación con un número de identificación asignado a una persona por su empleador; el estatuto incluye los propios datos biométricos como uno de los elementos secundarios que califican, junto con un código de seguridad, código de acceso o contraseña, en lugar de exigir uno de estos adicionalmente a los datos biométricos.
La definición es notablemente más limitada en comparación con otros estados. Solo cubre los datos biométricos cuando se usan con fines de autenticación. Los datos biométricos recopilados por otras razones, como análisis de marketing o investigación, quedan fuera del alcance del estatuto.
Los tipos comunes de datos biométricos que calificarían bajo esta definición incluyen:
- Escaneos de huellas dactilares utilizados para el inicio de sesión de dispositivos o sistemas
- Plantillas de reconocimiento facial utilizadas para la verificación de identidad
- Escaneos de iris utilizados para el acceso a edificios
- Huellas de voz utilizadas para la autenticación telefónica
- Mediciones de geometría de la mano utilizadas en sistemas de control de horario
Las fotografías, grabaciones de video y grabaciones de audio no se abordan explícitamente en la definición de datos biométricos según SDCL 22-40-19.
Requisitos de notificación de violaciones para datos biométricos
La ley de notificación de violaciones de Dakota del Sur, promulgada mediante la SB 62 en 2018 y codificada en SDCL 22-40-20, establece el marco legal principal que protege los datos biométricos en el estado.
Quién debe cumplir
Toda persona o empresa que realice negocios en Dakota del Sur y que sea propietaria o tenga licencia de información personal computarizada de residentes de Dakota del Sur debe cumplir con los requisitos de notificación de violaciones. Esto aplica tanto a entidades dentro como fuera del estado.
Plazo de notificación
Cuando una violación de la seguridad del sistema expone información personal que incluye datos biométricos, el titular de la información debe notificar a los residentes afectados de Dakota del Sur a más tardar 60 días después del descubrimiento o la notificación de la violación.
Este plazo de 60 días solo puede extenderse si las autoridades determinan que la notificación impediría una investigación criminal. En ese caso, la notificación debe ocurrir dentro de 30 días después de que las autoridades autoricen el fin de la demora.
Reporte al Fiscal General
Cualquier violación que afecte a más de 250 residentes de Dakota del Sur debe reportarse al Fiscal General de Dakota del Sur por correo postal o electrónico. Este reporte debe incluir información sobre la naturaleza de la violación y los tipos de información personal comprometida.
Qué activa una notificación
Una "violación de la seguridad del sistema" según la ley significa la adquisición no autorizada de datos computarizados no encriptados, o de datos encriptados junto con la clave de encriptación, que compromete materialmente la seguridad, confidencialidad o integridad de la información personal o protegida.
Si los datos de autenticación biométrica quedan expuestos en dicha violación, aplican las obligaciones de notificación.
Lo que la ley de Dakota del Sur no cubre
Las brechas en el marco de privacidad biométrica de Dakota del Sur son significativas. Entender lo que la ley no hace es tan importante como entender lo que sí hace.
Sin requisitos de consentimiento para la recopilación
Dakota del Sur no exige que las empresas o los empleadores obtengan consentimiento antes de recopilar datos biométricos. Una empresa puede implementar escáneres de huellas dactilares, cámaras de reconocimiento facial o sistemas de autenticación por voz sin proporcionar aviso ni obtener ningún tipo de permiso de los individuos cuyos datos se recopilan. La única excepción son los datos genéticos manejados por empresas de pruebas de ADN para consumidores, que se abordan en la siguiente sección.
Sin reglas de retención o destrucción
La ley no establece límites sobre cuánto tiempo las organizaciones pueden almacenar datos biométricos. No existen requisitos para publicar un cronograma de retención de datos ni para destruir los datos biométricos después de un período determinado o cuando haya finalizado el propósito de la recopilación.
Sin limitación de propósito
Las empresas que recopilan datos biométricos en Dakota del Sur no enfrentan restricciones sobre cómo los utilizan. La ley no prohíbe vender, compartir o reutilizar datos biométricos, siempre que no se activen obligaciones de notificación de violaciones.
Sin Derecho de Acción Privada al Estilo BIPA
Dakota del Sur no tiene un derecho de acción privada por el mal uso de datos biométricos comparable a la BIPA de Illinois, que permite a los individuos demandar por entre $1,000 y $5,000 por violación. La aplicación del estatuto de notificación de violaciones recae principalmente en el Fiscal General.
Existe una vía indirecta sobre el papel, pero no está resuelta. SDCL 22-40-25 permite que el Fiscal General procese el incumplimiento de divulgar una violación como un acto o práctica engañosa bajo SDCL 37-24-6, y SDCL 37-24-31 permite que cualquier persona que afirme haberse visto perjudicada por un acto o práctica declarada ilegal por 37-24-6 presente una demanda civil por daños reales. No está resuelto si un demandante particular puede realmente acceder a esa cadena por un incumplimiento de notificación, y la principal disposición sobre prácticas engañosas en 37-24-6(1) está vinculada a la venta o publicidad de mercancías. Considérela una pregunta abierta, no un remedio confiable.
Sanciones civiles por incumplimiento
Según SDCL 22-40-25, el Fiscal General puede procesar el incumplimiento de la divulgación como un acto o práctica engañosa y puede iniciar una acción para recuperar una sanción civil de hasta $10,000 por día por violación, además de honorarios de abogados y costos asociados con las acciones de aplicación.
Datos Genéticos: El Único Estatuto de Consentimiento de Dakota del Sur
Dakota del Sur sí regula una categoría de datos derivados del cuerpo humano en el momento de la recopilación. SDCL 37-24-59 a 37-24-64 se aplican a las empresas de pruebas genéticas dirigidas directamente al consumidor, es decir, entidades que ofrecen productos o servicios de pruebas genéticas directamente a los consumidores o que analizan datos genéticos recopilados a través de dicho producto.
SDCL 37-24-60 exige que esas empresas publiquen una política de privacidad y un aviso de privacidad en lenguaje claro, obtengan el consentimiento expreso del consumidor para recopilar, divulgar o usar datos genéticos, y obtengan un consentimiento expreso separado para cada transferencia o divulgación a un tercero, para cada uso más allá del propósito principal de la prueba, para la retención de una muestra biológica después de completada la prueba, y para fines de marketing. El estatuto también exige un programa de seguridad para los datos genéticos y un proceso que permita al consumidor acceder a los datos, eliminar la cuenta y los datos genéticos, y solicitar la destrucción de la muestra biológica. Según SDCL 37-24-61, una revocación del consentimiento debe cumplirse dentro de 30 días, y una muestra biológica debe destruirse dentro de 30 días de una revocación que la cubra.
SDCL 37-24-63 permite que el Fiscal General solicite a un tribunal una sanción civil de hasta $5,000 por violación. SDCL 37-24-64 exime la información de salud protegida en poder de entidades cubiertas por HIPAA, las muestras recopiladas para exámenes médicos, diagnóstico o tratamiento, las instituciones de educación superior, los laboratorios forenses que trabajan con las fuerzas del orden, ciertas entidades de investigación y los hospitales con licencia.
El límite del alcance es importante: estas secciones cubren el ADN y las muestras biológicas. No alcanzan las huellas dactilares, las plantillas de reconocimiento facial, los escaneos de iris ni las huellas de voz, razón por la cual Dakota del Sur sigue sin tener un requisito general de consentimiento biométrico.
Leyes federales que pueden aplicar en Dakota del Sur
Debido a que Dakota del Sur carece de protecciones integrales de privacidad biométrica, las leyes federales proporcionan cierta cobertura adicional en contextos específicos.
HIPAA
Los proveedores de atención médica, las aseguradoras y sus asociados comerciales en Dakota del Sur deben cumplir con HIPAA al manejar datos biométricos en un contexto de atención médica. La ley de notificación de violaciones de Dakota del Sur reconoce esto al considerar que las entidades reguladas por HIPAA cumplen si siguen los requisitos federales de notificación de violaciones.
Ley Gramm-Leach-Bliley (GLBA)
Las instituciones financieras en Dakota del Sur que recopilan datos biométricos para la autenticación de clientes deben cumplir con los requisitos de seguridad de datos de la GLBA. Al igual que las entidades sujetas a HIPAA, las instituciones financieras que siguen los requisitos de notificación de violaciones de su regulador federal se consideran en cumplimiento con la ley estatal de Dakota del Sur.
Ley de Protección de la Privacidad Infantil en Línea (COPPA)
Las empresas que recopilan datos biométricos de niños menores de 13 años en Dakota del Sur deben cumplir con los requisitos de COPPA, que incluyen obtener el consentimiento parental verificable antes de recopilar identificadores biométricos.
Cómo se compara Dakota del Sur con los estados vecinos
El enfoque de Dakota del Sur respecto a la privacidad biométrica se encuentra entre los menos protectores de la región.
Iowa promulgó una ley de protección de datos del consumidor que clasifica los datos biométricos como sensibles, pero el Código de Iowa 715D.4(2) exige únicamente que se presente al consumidor un aviso claro y una oportunidad de exclusión voluntaria (opt-out) antes de procesar datos sensibles. Eso convierte a Iowa en la excepción entre los estados con leyes integrales de privacidad, que generalmente exigen consentimiento previo (opt-in). Montana también aprobó una legislación integral de privacidad con protecciones para datos biométricos.
Nebraska va más allá que Dakota del Sur también. Bajo la Ley de Privacidad de Datos de Nebraska, Neb. Rev. Stat. 87-1102(30)(b) trata los datos genéticos o biométricos procesados con el fin de identificar de manera única a una persona como datos sensibles, y 87-1112(2)(d) prohíbe que un controlador procese datos sensibles sin obtener el consentimiento del consumidor. Nebraska, por lo tanto, exige consentimiento previo (opt-in) para el procesamiento biométrico, aunque no cuenta con un estatuto biométrico independiente.
Dakota del Norte y Wyoming comparten el enfoque limitado de Dakota del Sur, apoyándose principalmente en leyes de notificación de violaciones sin estatutos dedicados de privacidad biométrica.
Minnesota, al este, ha promulgado protecciones de privacidad de datos del consumidor más sólidas que incluyen disposiciones sobre datos biométricos.
Orientación práctica para los residentes de Dakota del Sur
Sin una ley dedicada de privacidad biométrica, los residentes de Dakota del Sur tienen un recurso legal limitado respecto a sus datos biométricos. Sin embargo, existen pasos prácticos para protegerse.
Pregunte a los empleadores y empresas qué datos biométricos recopilan y cómo los almacenan. Aunque no están legalmente obligados a decírselo, muchas organizaciones tienen políticas de privacidad que abordan los datos biométricos.
Revise las políticas de privacidad antes de usar aplicaciones, dispositivos o servicios que recopilen huellas dactilares, escaneos faciales o datos de voz. Las leyes federales como COPPA y las regulaciones específicas de cada sector pueden ofrecer cierta protección dependiendo del contexto.
Si utiliza un servicio de pruebas de ADN para consumidores, lea cuidadosamente las pantallas de consentimiento. SDCL 37-24-60 le da derecho a un consentimiento expreso separado antes de que sus datos genéticos o su muestra sean transferidos, reutilizados o retenidos, y SDCL 37-24-61 exige que la empresa honre una revocación dentro de 30 días.
Si cree que sus datos biométricos fueron comprometidos en una violación y no recibió notificación, contacte a la División de Protección al Consumidor del Fiscal General de Dakota del Sur para presentar una queja.
Panorama legislativo
Dakota del Sur no ha promulgado una ley integral de privacidad de datos del consumidor ni un estatuto independiente de privacidad biométrica. Sus únicas obligaciones de privacidad en la etapa de recopilación para datos derivados del cuerpo humano se encuentran en las secciones de pruebas genéticas de SDCL 37-24-59 a 37-24-64, que no alcanzan las huellas dactilares, los escaneos faciales ni las huellas de voz.
Dado que un número creciente de estados ha promulgado leyes integrales de privacidad con disposiciones sobre datos biométricos, sigue siendo posible que haya actividad legislativa en Dakota del Sur. Cualquier nueva legislación se presentaría durante la sesión legislativa anual del estado, que normalmente va de enero a marzo.
Los residentes y las empresas deben monitorear el sitio web de la Legislatura de Dakota del Sur para cualquier proyecto de ley relacionado con la privacidad.
Más leyes de Dakota del Sur
- Leyes de Grabación con IA en Reuniones de Dakota del Sur
- Leyes de Pensión Alimenticia de Dakota del Sur
- Leyes de Empleo a Voluntad de Dakota del Sur
- Leyes de Accidentes de Auto de Dakota del Sur
- Leyes de Asientos de Auto de Dakota del Sur
- Leyes de Custodia de Menores de Dakota del Sur
- Leyes de Manutención de Menores de Dakota del Sur
- Leyes de Matrimonio de Hecho de Dakota del Sur
- Leyes de Deepfake de Dakota del Sur
- Leyes de Divorcio de Dakota del Sur
- Leyes de Mordeduras de Perro de Dakota del Sur
- Leyes de Emancipación de Dakota del Sur
- Leyes de Eliminación de Antecedentes de Dakota del Sur
- Leyes de Choque y Fuga de Dakota del Sur
- Leyes de Propietarios e Inquilinos de Dakota del Sur
- Leyes del Limón de Dakota del Sur
Fuentes y referencias
Este artículo hace referencia a los estatutos de Dakota del Sur disponibles a través del sitio web de la Legislatura de Dakota del Sur. Para el texto completo de la ley de notificación de violaciones, consulte SDCL 22-40-19 hasta SDCL 22-40-26. Para las disposiciones sobre datos genéticos, consulte SDCL 37-24-59 hasta SDCL 37-24-64. Para presentar quejas de consumidores relacionadas con violaciones de datos, contacte al Fiscal General de Dakota del Sur.
Este artículo proporciona información legal general sobre las leyes de privacidad biométrica de Dakota del Sur. No constituye asesoría legal. Consulte a un abogado calificado para obtener orientación sobre su situación específica. Las leyes y regulaciones cambian con frecuencia. Verifique los requisitos vigentes a través de fuentes oficiales del gobierno de Dakota del Sur.
Preguntas frecuentes
¿Dakota del Sur tiene una ley de privacidad biométrica?
No. Dakota del Sur no tiene una ley dedicada de privacidad biométrica. Los identificadores biométricos, como las huellas dactilares, los escaneos faciales y las huellas de voz, están protegidos principalmente mediante el estatuto de notificación de violaciones del estado (SDCL 22-40-19 a 22-40-26), que exige que las empresas notifiquen a los individuos afectados dentro de 60 días cuando una violación de datos expone datos de autenticación biométrica. Los datos genéticos se regulan por separado en SDCL 37-24-59 a 37-24-64, que se aplican únicamente a las empresas de pruebas genéticas dirigidas directamente al consumidor.
¿Puede mi empleador recopilar mis huellas dactilares sin consentimiento en Dakota del Sur?
Sí. La ley de Dakota del Sur no exige que los empleadores obtengan consentimiento antes de recopilar datos biométricos como huellas dactilares, escaneos faciales o escaneos de iris. No existen restricciones a nivel estatal sobre la recopilación o el uso de datos biométricos por parte de los empleadores, aunque leyes federales como HIPAA o la GLBA pueden aplicar en industrias específicas.
¿Puedo demandar a una empresa en Dakota del Sur por el mal uso de mis datos biométricos?
Dakota del Sur no tiene un derecho de acción privada al estilo BIPA por el mal uso de datos biométricos, por lo que no existe un estatuto que le permita demandar por la recopilación o el uso de una huella dactilar o un escaneo facial. La aplicación de la notificación de violaciones recae principalmente en el Fiscal General. Existe una vía indirecta que no está resuelta: SDCL 22-40-25 conecta el incumplimiento de divulgar una violación con SDCL 37-24-6 como un acto o práctica engañosa, y SDCL 37-24-31 permite que una persona perjudicada por un acto ilegal bajo 37-24-6 demande por daños reales, pero no está resuelto si esa cadena alcanza un incumplimiento de notificación. También puede presentar una queja ante la División de Protección al Consumidor del Fiscal General en atg.sd.gov.
¿Qué datos biométricos están protegidos según la ley de notificación de violaciones de Dakota del Sur?
SDCL 22-40-19 protege los datos biométricos generados a partir de mediciones o análisis de características corporales humanas con fines de autenticación. Esto incluye escaneos de huellas dactilares, plantillas de reconocimiento facial, escaneos de iris y huellas de voz cuando se usan para autenticación y se combinan con un número de identificación asignado por el empleador; los propios datos biométricos completan esa combinación, sin necesidad de un código de seguridad o contraseña adicional.
¿Dakota del Sur regula el ADN y los datos de pruebas genéticas?
Sí. SDCL 37-24-59 a 37-24-64 se aplican a las empresas de pruebas genéticas dirigidas directamente al consumidor. SDCL 37-24-60 exige consentimiento expreso para recopilar, divulgar o usar datos genéticos, además de un consentimiento expreso separado para cada transferencia, cada uso más allá del propósito principal de la prueba, la retención de una muestra biológica y el marketing. SDCL 37-24-61 exige que una revocación del consentimiento se cumpla dentro de 30 días y que la muestra biológica se destruya dentro de 30 días, y SDCL 37-24-63 permite que el Fiscal General busque una sanción civil de hasta $5,000 por violación. Estas secciones cubren únicamente el ADN, no las huellas dactilares, los escaneos faciales ni las huellas de voz.
¿Qué sanciones impone Dakota del Sur por no reportar una violación de datos biométricos?
La ley de notificación de violaciones de Dakota del Sur permite que el Fiscal General recupere una sanción civil de hasta $10,000 por día por violación, además de honorarios de abogados y costos asociados con las acciones de aplicación. Las empresas que experimenten una violación que afecte a más de 250 residentes deben reportarla al Fiscal General dentro de 60 días del descubrimiento.
¿Afectado por una filtración de datos o una violación de privacidad biométrica?
Si sus datos personales quedaron expuestos en una filtración, o si su huella dactilar o escaneo facial se recopiló sin su consentimiento, podría ser elegible para unirse a un reclamo por compensación. Averígüelo gratis y sin compromiso.
Actualizaciones
Se corrigió cómo esta página describe las leyes de Iowa y Nebraska, se agregó el estatuto de datos genéticos de Dakota del Sur (SDCL 37-24-59 a 37-24-64) y se matizó la afirmación de que solo el Fiscal General puede hacer cumplir los deberes de notificación de violaciones.
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Se corrigió la cita y el contenido de la afirmación sobre sanciones civiles de esta página: la ley de Dakota del Sur sí especifica una sanción (hasta $10,000 por día por violación bajo SDCL 22-40-25) y se corrigió una cita de estatuto no coincidente para el deber de aviso de 60 días.
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en las disposiciones legales a continuación, conservadas en nuestro propio registro jurídico y obtenidas de la fuente oficial. Toque una sección para leer el texto vigente.
South Dakota Codified Laws, Chapter 22-40: IDENTITY CRIMES
§ 22-40-20Notice of breach of system security--Exception.Vigentecitada en 3 de nuestros artículos
Following the discovery by or notification to an information holder of a breach of system security an information holder shall disclose in accordance with § 22-40-22 the breach of system security to any resident of this state whose personal or protected information was, or is reasonably believed to have been, acquired by an unauthorized person. A disclosure under this section shall be made not later than sixty days from the discovery or notification of the breach of system security, unless a longer period of time is required due to the legitimate needs of law enforcement as provided under § 22-40-21. An information holder is not required to make a disclosure under this section if, following an appropriate investigation and notice to the attorney general, the information holder reasonably determines that the breach will not likely result in harm to the affected person. The information holder shall document the determination under this section in writing and maintain the documentation for not less than three years.
Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en sdlegislature.gov
§ 22-40-19Definition of terms in §§ 22-40-19 to 22-40-26.Vigentecitada en 4 de nuestros artículos
Terms in §§ 22-40-19 to 22-40-26, inclusive, mean: (1) "Breach of system security," the unauthorized acquisition of unencrypted computerized data or encrypted computerized data and the encryption key by any person that materially compromises the security, confidentiality, or integrity of personal or protected information maintained by the information holder. The term does not include the good faith acquisition of personal or protected information by an employee or agent of the information holder for the purposes of the information holder if the personal or protected information is not used or subject to further unauthorized disclosure; (2) "Encrypted," computerized data that is rendered unusable, unreadable, or indecipherable without the use of a decryption process or key or in accordance with the Federal Information Processing Standard 140-2 in effect on January 1, 2018; (3) "Information holder," any person or business that conducts business in this state, and that owns or licenses computerized personal or protected information of residents of this state; (4) "Personal information," a person's first name or first initial and last name, in combination with any one or more of…
Texto oficial (extracto) · verificado el 2026-07-30 · Lea el texto completo en nuestra biblioteca legal · Verifique en sdlegislature.gov
§ 22-40-22Types of notice of breach of system security.Vigentecitada en 3 de nuestros artículos
A disclosure under § 22-40-20 may be provided by: (1) Written notice; (2) Electronic notice, if the electronic notice is consistent with the provisions regarding electronic records and signatures set forth in 15 U.S.C. § 7001 in effect as of January 1, 2018, or if the information holder's primary method of communication with the resident of this state has been by electronic means; or (3) Substitute notice, if the information holder demonstrates that the cost of providing notice would exceed two hundred fifty thousand dollars, that the affected class of persons to be notified exceeds five hundred thousand persons, or that the information holder does not have sufficient contact information and the notice consists of each of the following: (a) Email notice, if the information holder has an email address for the subject persons; (b) Conspicuous posting of the notice on the information holder's website, if the information holder maintains a website page; and (c) Notification to statewide media.
Texto oficial (extracto) · verificado el 2026-07-30 · Lea el texto completo en nuestra biblioteca legal · Verifique en sdlegislature.gov
§ 22-40-25Prosecution for violations.Vigentecitada en 3 de nuestros artículos
The attorney general may prosecute each failure to disclose under the provisions of §§ 22-40-19 to 22-40-26, inclusive, as a deceptive act or practice under § 37-24-6. In addition to any remedy provided under chapter 37-24, the attorney general may bring an action to recover on behalf of the state a civil penalty of not more than ten thousand dollars per day per violation. The attorney general may recover attorney's fees and any costs associated with any action brought under this section.
Texto oficial (extracto) · verificado el 2026-07-30 · Lea el texto completo en nuestra biblioteca legal · Verifique en sdlegislature.gov
§ 22-40-26Notice of breach of system security in accordance with federal law.Vigentecitada en 3 de nuestros artículos
Notwithstanding any other provisions in §§ 22-40-19 to 22-40-26, inclusive, any information holder that is regulated by federal law or regulation, including the Health Insurance Portability and Accountability Act of 1996 (P.L. 104-191, as amended) or the Gramm Leach Bliley Act (15 U.S.C. § 6801 et seq., as amended) and that maintains procedures for a breach of system security pursuant to the laws, rules, regulations, guidance, or guidelines established by its primary or functional federal regulator is deemed to be in compliance with this chapter if the information holder notifies affected South Dakota residents in accordance with the provisions of the applicable federal law or regulation.
Texto oficial (extracto) · verificado el 2026-07-30 · Lea el texto completo en nuestra biblioteca legal · Verifique en sdlegislature.gov
Iowa Code, Chapter 715D: CONSUMER DATA PROTECTIONS
§ 715D.4Data controller duties.Vigentecitada en 8 de nuestros artículos
1. A controller shall adopt and implement reasonable administrative, technical, and physical data security practices to protect the confidentiality, integrity, and accessibility of personal data. Such data security practices shall be appropriate to the volume and nature of the personal data at issue. 2. A controller shall not process sensitive data collected from a consumer for a nonexempt purpose without the consumer having been presented with clear notice and an opportunity to opt out of such processing, or, in the case of the processing of sensitive data concerning a known child, without processing such data in accordance with the federal Children’s Online Privacy Protection Act, 15 U.S.C. §6501 et seq. 3. A controller shall not process personal data in violation of state and federal laws that prohibit unlawful discrimination against a consumer. A controller shall not discriminate against a consumer for exercising any of the consumer rights contained in this chapter, including denying goods or services, charging different prices or rates for goods or services, or providing a different level of quality of goods and services to the consumer.
Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en legis.iowa.gov
Citada en 1 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2023
Resoluciones que citan esta sección en nuestra colección:
- Calabretto Building Group v. Tradesmen International, LLC. (Court of Appeals of Iowa 2023)“…s); see also 2023 Iowa Acts ch. 17, § 4 (to be codified at Iowa Code § 715D.4(4)) (voiding terms that “waive or limi…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
Nebraska Revised Statutes, Chapter 87: TRADE PRACTICES
§ 87-1102Terms, definedVigentecitada en 9 de nuestros artículos
For purposes of the Data Privacy Act: (1) Affiliate means a legal entity that controls, is controlled by, or is under common control with another legal entity or shares common branding with another legal entity. For purposes of this subdivision, control or controlled means: (a) The ownership of, or power to vote, more than fifty percent of the outstanding shares of any class of voting security of a company; (b) The control in any manner over the election of a majority of the directors or of individuals exercising similar functions; or (c) The power to exercise controlling influence over the management of a company; (2) Authenticate means to verify through reasonable means that the consumer who is entitled to exercise the consumer's rights under sections 87-1107 to 87-1111, or a person on behalf of such consumer, is the same consumer exercising those consumer rights with respect to the personal data at issue; (3)(a) Biometric data means data that is generated to identify a specific individual through an automatic measurement of a biological characteristic of such individual and includes any: (i) Fingerprint; (ii) Voice print; (iii) Retina image; (iv) Iris image; or (v)…
Texto oficial (extracto) · verificado el 2026-07-29 · Lea el texto completo en nuestra biblioteca legal · Verifique en nebraskalegislature.gov
También citada en: Leyes de Privacidad Biométrica de Nuevo México: Recopilación, Consentimiento y Sanciones (2026)
§ 87-1112Controller; personal data; requirements on collection and useVigentecitada en 8 de nuestros artículos
(1) A controller: (a) Shall limit the collection of personal data to what is adequate, relevant, and reasonably necessary in relation to the purposes for which that personal data is processed, as disclosed to the consumer; and (b) For purposes of protecting the confidentiality, integrity, and accessibility of personal data, shall establish, implement, and maintain reasonable administrative, technical, and physical data security practices that are appropriate to the volume and nature of the personal data at issue.
Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en nebraskalegislature.gov
South Dakota Codified Laws, Chapter 37-24: DECEPTIVE TRADE PRACTICES AND CONSUMER PROTECTION
§ 37-24-31Action for damages brought by person adversely affected.Vigentecitada en 2 de nuestros artículos
Any person who claims to have been adversely affected by any act or a practice declared to be unlawful by § 37-24-6 shall be permitted to bring a civil action for the recovery of actual damages suffered as a result of such act or practice.
Texto oficial (extracto) · verificado el 2026-07-30 · Lea el texto completo en nuestra biblioteca legal · Verifique en sdlegislature.gov
Citada en 14 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2021
Resoluciones que citan esta sección en nuestra colección:
- Moss v. Guttormson (South Dakota Supreme Court 1996, 551 N.W.2d 14)“…tual damages suffered as a result of such act or practice.” SDCL 37-24-31 (emphasis added). “Person” includes nat…”
- Sisney v. Best Inc. (South Dakota Supreme Court 2008, 754 N.W.2d 804)“…9- #24682 if any, arose under the civil action allowed in SDCL 37-24-31, a related statute that specifically r…”
- Wyman v. Terry Schulte Chevrolet, Inc. (South Dakota Supreme Court 1998, 584 N.W.2d 103)“…t “person” means, inter alia, a corporation. [¶ 13.] SDCL 37-24-31 provides that any person who claims to…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 37-24-59Genetic material protection--Definitions.Vigente
Terms used in this section and §§ 37-24-60 to 37-24-64, mean: (1) "Biological sample," any part of a human that is known to contain deoxyribonucleic acid; (2) "Consumer," an individual who is a resident of this state; (3) "De-identified data," genetic data that cannot reasonably be used to infer information about, or otherwise be linked to, an identifiable consumer; (4) "Direct-to-consumer genetic testing company," an entity that: (a) Offers genetic testing products or services directly to consumers; or (b) Analyzes, collects, or uses genetic data collected via a direct-to-consumer genetic testing product or service that is provided to the company by the consumer; (5) "Express consent," an affirmative written response, which may be presented and captured electronically; (6) "Genetic data," data other than de-identified data, regardless of format, which concerns a consumer's genetic characteristics; and (7) "Service provider," a person that: (a) Is involved in the collection, transportation, or analysis of, or any other service in connection with, a consumer's biological sample or genetic data, on behalf of a direct-to-consumer genetic testing company; (b) Collects,…
Texto oficial (extracto) · verificado el 2026-07-30 · Lea el texto completo en nuestra biblioteca legal · Verifique en sdlegislature.gov
§ 37-24-6Deceptive act or practice--Penalty.Vigentecitada en 3 de nuestros artículos
It is a deceptive act or practice for any person to: (1) Knowingly act, use, or employ any deceptive act or practice, fraud, false pretense, false promises, or misrepresentation or to conceal, suppress, or omit any material fact in connection with the sale or advertisement of any merchandise or the solicitation of contributions for charitable purposes, regardless of whether any person has in fact been misled, deceived, or damaged thereby; (2) Advertise price reductions without satisfying one of the following: (a) Including in the advertisement the specific basis for the claim of a price reduction; or (b) Offering the merchandise for sale at the higher price from which the reduction is taken for at least seven consecutive business days during the sixty-day period prior to the advertisement.
Texto oficial (extracto) · verificado el 2026-07-30 · Lea el texto completo en nuestra biblioteca legal · Verifique en sdlegislature.gov
Citada en 19 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2024
Resoluciones que citan esta sección en nuestra colección:
- Moss v. Guttormson (South Dakota Supreme Court 1996, 551 N.W.2d 14)“…be adversely affected by practices declared unlawful under SDCL 37-24-6. [¶ 12] Other courts have simila…”
- Nygaard v. Sioux Valley Hospitals & Health System (South Dakota Supreme Court 2007, 731 N.W.2d 184)“…re premised on contract. The fourth alleged a violation of SDCL 37-24-6, part of South Dakota’s Deceptive Trad…”
- Sisney v. Best Inc. (South Dakota Supreme Court 2008, 754 N.W.2d 804)“…Sisney appeals only the dismissal of state law claims under SDCL 37-24-6; 20-10-1; 22-19B-4; and 20-9-32. We the…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 37-24-60Genetic material protection--Requirements.Vigente
To safeguard the confidentiality, integrity, privacy, and security of a consumer's genetic data, a direct-to-consumer genetic testing company shall: (1) Make available to the consumer in plain language: (a) A privacy policy that includes basic, essential information about the company's collection, disclosure, and use of genetic data; and (b) A prominent, publicly available privacy notice that includes information about the company's access, consent, data collection, deletion, disclosure, maintenance, retention, security, and transfer practices; and how the company uses genetic data; (2) Provide a clear and complete notice to the consumer that the consumer's de-identified data may be shared with or disclosed to a third party for research purposes, in accordance with 45 C.F.R.
Texto oficial (extracto) · verificado el 2026-07-30 · Lea el texto completo en nuestra biblioteca legal · Verifique en sdlegislature.gov
§ 37-24-61Genetic material protection--Revocation of consent.Vigente
If a consumer revokes consent pursuant to § 37-24-60, the company must honor the consumer's revocation of consent within thirty days. If a consumer revokes consent to store the consumer's biological sample, the company must destroy the consumer's biological sample within thirty days of receiving the consumer's revocation of consent.
Texto oficial (extracto) · verificado el 2026-07-30 · Lea el texto completo en nuestra biblioteca legal · Verifique en sdlegislature.gov
§ 37-24-63Genetic material protection--Violation--Civil penalty.Vigente
The attorney general, upon petition to the court, may impose a civil penalty against a person for violating § 37-24-60, 37-24-61, or 37-24-62. The amount of the civil penalty may not exceed five thousand dollars per violation.
Texto oficial (extracto) · verificado el 2026-07-30 · Lea el texto completo en nuestra biblioteca legal · Verifique en sdlegislature.gov
§ 37-24-64Genetic material protection--Exceptions.Vigente
The provisions of §§ 37-24-60 to 37-24-63, inclusive, do not apply to: (1) Protected health information collected by a covered entity or business associate, as those terms are defined in 45 C.F.R. § 160.103 (November 25, 2025); (2) A biological sample that is obtained or genetic data that is generated for the purpose of a consumer's medical screening, diagnosis, or treatment; (3) A public or private institution of higher education; (4) An entity owned or operated by a public or private institution of higher education; (5) A forensic laboratory that is operated by, associated with, or under contract with, a law enforcement agency, when performing forensic analysis or related services as part of a criminal investigation; (6) An entity that analyzes, collects, or uses genetic data or biological samples only in the context of research, as defined in 24 C.F.R. § 164.501 (November 25, 2025), in a manner that complies with the federal policy of the protection of human research subjects under 45 C.F.R.
Texto oficial (extracto) · verificado el 2026-07-30 · Lea el texto completo en nuestra biblioteca legal · Verifique en sdlegislature.gov
Fuentes y referencias
- SDCL 22-40-19 - Definición de Términos (Notificación de Violaciones)(sdlegislature.gov).gov
- SDCL 22-40-20 - Divulgación de Violación Requerida(sdlegislature.gov).gov
- SDCL 22-40-22 - Notificación al Fiscal General(sdlegislature.gov).gov
- SDCL 22-40-25 - Procesamiento por Violaciones(sdlegislature.gov).gov
- SDCL Capítulo 22-40 - Delitos de Identidad(sdlegislature.gov).gov
- SB 62 (2018) - Ley de Notificación de Violación de Datos(mylrc.sdlegislature.gov).gov
- Fiscal General de Dakota del Sur - Protección al Consumidor(atg.sd.gov).gov
- SDCL 37-24-59 - Protección de Material Genético: Definiciones(sdlegislature.gov)
- SDCL 37-24-60 - Protección de Material Genético: Requisitos (Consentimiento Expreso)(sdlegislature.gov)
- SDCL 37-24-61 - Protección de Material Genético: Revocación del Consentimiento(sdlegislature.gov)
- SDCL 37-24-63 - Protección de Material Genético: Sanción Civil(sdlegislature.gov)
- SDCL 37-24-64 - Protección de Material Genético: Excepciones(sdlegislature.gov)
- SDCL 37-24-6 - Acto o Práctica Engañosa(sdlegislature.gov)
- SDCL 37-24-31 - Acción por Daños Presentada por Persona Perjudicada(sdlegislature.gov)
- Neb. Rev. Stat. 87-1102 - Definiciones de la Ley de Privacidad de Datos de Nebraska (Datos Sensibles)(nebraskalegislature.gov)
- Neb. Rev. Stat. 87-1112 - Obligaciones del Controlador (Consentimiento para Datos Sensibles)(nebraskalegislature.gov)
- Código de Iowa 715D.4 - Obligaciones del Controlador de Datos (Aviso y Exclusión Voluntaria para Datos Sensibles)(legis.iowa.gov)