South Dakota
Leyes de Notificación de Violación de Datos de Dakota del Sur: Reglas y Plazos de Reporte (2026)
Verificado de forma independiente contra fuentes primarias (última auditoría: 15 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 15 de agosto de 2026. · 2 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
Dakota del Sur exige que las empresas notifiquen a los residentes afectados por una violación de datos dentro de 60 días de su descubrimiento, según . Cuando se ven afectados más de 250 residentes, el Fiscal General también debe recibir notificación. Las sanciones alcanzan hasta $10,000 por día por violación en caso de incumplimiento.
Dakota del Sur fue uno de los últimos estados en el país en promulgar una ley de notificación de violación de datos. El estatuto, Leyes Codificadas de Dakota del Sur 22-40-19 a 22-40-26, entró en vigor el 1 de julio de 2018 y aplica a cualquier titular de información que realice negocios en Dakota del Sur y que sea propietario o tenga licencia de información personal o protegida computarizada de residentes del estado.
A pesar de haber sido uno de los últimos en adoptarla, la ley de Dakota del Sur incluye varias características que la ponen en línea con los estatutos de notificación de violaciones más modernos: un plazo firme de notificación de 60 días, un umbral bajo de notificación al Fiscal General de 250 residentes, y sanciones diarias sustanciales por incumplimiento. La ley también introduce el concepto de "información protegida", que cubre credenciales de inicio de sesión incluso sin un nombre.
Esta guía cubre el alcance completo de los requisitos de notificación de violaciones de Dakota del Sur, incluyendo cómo se conectan con el marco más amplio de las leyes de privacidad de datos de Dakota del Sur.
Quién debe cumplir
La ley de Dakota del Sur aplica a cualquier "titular de información", definido como toda persona o empresa que realice negocios en Dakota del Sur y que sea propietaria o tenga licencia de información personal o protegida computarizada de residentes del estado. Las empresas ubicadas fuera de Dakota del Sur están cubiertas si poseen datos pertenecientes a residentes de Dakota del Sur.
Cuando un tercero mantiene datos en nombre del propietario o titular de la licencia de los datos, el tercero debe notificar al propietario o titular de la licencia inmediatamente después de descubrir una violación. El propietario de los datos entonces asume la responsabilidad de notificar a los residentes afectados y al Fiscal General.
Excepción por cumplimiento de la ley federal
Según la Sección 22-40-26, los titulares de información regulados por la ley federal que mantienen procedimientos de notificación de violaciones según los requisitos federales (como HIPAA o la Ley Gramm-Leach-Bliley) se consideran en cumplimiento con la ley de Dakota del Sur si notifican a los residentes afectados conforme a los requisitos federales aplicables.
Excepción por política de seguridad propia
Un titular de información que mantiene su propio procedimiento de notificación como parte de una política de seguridad de la información también se considera en cumplimiento, siempre que la política sea coherente con los requisitos de tiempo y el titular notifique a los individuos afectados conforme a sus propios procedimientos.
Qué activa la notificación
Según la Sección 22-40-19, una "violación de la seguridad del sistema" significa la adquisición no autorizada de datos computarizados no encriptados, o de datos computarizados encriptados junto con la clave de encriptación, por cualquier persona, que compromete materialmente la seguridad, confidencialidad o integridad de la información personal o protegida.
La definición se centra en la adquisición no autorizada, no solo en el acceso no autorizado. El simple acceso sin adquisición podría no activar la ley.
Puerto seguro de encriptación
Los datos encriptados están excluidos de la definición de violación a menos que la clave de encriptación también haya sido comprometida. Dakota del Sur define "encriptado" como datos convertidos en inutilizables, ilegibles o indescifrables sin un proceso de desencriptación o una clave, o datos encriptados conforme a la versión de FIPS 140-2 (el Estándar Federal de Procesamiento de Información) vigente al 1 de enero de 2018.
Información personal que activa la ley
La definición de información personal de Dakota del Sur según la Sección 22-40-19 significa el primer nombre o la inicial del primer nombre y el apellido de una persona, en combinación con uno o más de los siguientes elementos de datos:
- Número de Seguro Social
- Número de licencia de conducir u otro número de identificación único creado o recopilado por un organismo gubernamental
- Número de cuenta, tarjeta de crédito o débito, en combinación con cualquier código de seguridad, código de acceso, contraseña, número de ruta, PIN o información adicional requerida que permitiría el acceso a una cuenta financiera
- Información de salud según se define en 45 CFR 160.103 (la definición de HIPAA, que cubre condiciones de salud física o mental pasadas, presentes o futuras, la prestación de atención médica o el pago de atención médica)
- Número de identificación asignado por el empleador de la persona, en combinación con cualquier código de seguridad, código de acceso, contraseña o dato biométrico generado a partir de mediciones o análisis de características corporales humanas con fines de autenticación
La información personal no incluye información disponible legalmente en registros gubernamentales federales, estatales o locales, ni información que haya sido redactada o convertida de otra manera en inutilizable.
Aspecto notable: cobertura del número de Seguro Social
El estatuto de Dakota del Sur enumera los números de Seguro Social directamente como su propio elemento de datos, separado de la categoría de "número de licencia de conducir u otro número de identificación único creado o recopilado por un organismo gubernamental".
Información protegida: una categoría más amplia
Dakota del Sur es uno de los pocos estados que define una categoría separada de "información protegida". La información protegida incluye:
- Nombre de usuario o dirección de correo electrónico en combinación con una contraseña, respuesta de seguridad u otra información que permita el acceso a una cuenta en línea
- Número de cuenta o de tarjeta de crédito o débito en combinación con cualquier código de seguridad, código de acceso o contraseña requerido que permita el acceso a una cuenta financiera
La información protegida no requiere un componente de nombre para activar la notificación. Esto significa que una violación de direcciones de correo electrónico combinadas con contraseñas activa la notificación incluso sin que se hayan comprometido nombres.
El plazo de notificación de 60 días
Según la Sección 22-40-20, un titular de información debe divulgar la violación a cualquier residente afectado de Dakota del Sur a más tardar 60 días después del descubrimiento o de la notificación de la violación.
Demora por aplicación de la ley
La notificación puede retrasarse si una agencia de aplicación de la ley determina que la notificación impedirá una investigación criminal. Una vez que las autoridades determinen que la notificación ya no comprometerá la investigación, la notificación debe proporcionarse dentro de 30 días.
Excepción por ausencia de riesgo de daño
también contiene una excepción que puede eliminar por completo el deber de notificar a los individuos. Un titular de información no está obligado a realizar la divulgación si, tras una investigación adecuada y la notificación al Fiscal General, determina razonablemente que la violación probablemente no resultará en daño a las personas afectadas. La empresa debe documentar esa determinación por escrito y conservar la documentación durante al menos tres años. Es importante notar el orden: el Fiscal General debe ser notificado de todas formas antes de que la empresa pueda acogerse a esta excepción, por lo que "ausencia de daño" nunca es una razón para no notificar a nadie.
Quién debe ser notificado
Individuos afectados
Todo residente de Dakota del Sur cuya información personal o protegida fue, o se cree razonablemente que fue, adquirida por una persona no autorizada debe recibir notificación.
Fiscal General (umbral de 250+)
Cuando una violación afecta a más de 250 residentes de Dakota del Sur, el titular de la información debe notificar al Fiscal General de Dakota del Sur por correo postal o electrónico. Este es uno de los umbrales de notificación al Fiscal General más bajos del país.
Agencias de reporte de crédito al consumidor
Si se requiere la divulgación a los consumidores o al Fiscal General, también se debe notificar a las agencias nacionales de reporte de crédito (Equifax, Experian y TransUnion).
Métodos de notificación
Según la Sección 22-40-22, Dakota del Sur permite tres tipos de aviso:
- Aviso escrito a la última dirección conocida
- Aviso electrónico, si es coherente con las disposiciones federales de registros electrónicos o si la comunicación electrónica es el método principal de contacto del titular de la información con el residente
- Aviso sustituto, si el costo excedería $250,000, la clase afectada supera las 500,000 personas, o el titular carece de información de contacto suficiente. El aviso sustituto requiere correo electrónico a las direcciones disponibles, publicación visible en el sitio web y notificación a los medios de comunicación estatales.
Sanciones por incumplimiento
La estructura de sanciones de Dakota del Sur está entre las más severas del país para un estado sin derecho de acción privada.
Sanciones civiles
Según la Sección 22-40-25, el Fiscal General puede iniciar una acción para recuperar una sanción civil de hasta $10,000 por día por violación. Para una violación que permanece sin reportar durante semanas o meses, esta estructura diaria crea una exposición financiera significativa.
Procesamiento por actos engañosos
El Fiscal General también puede procesar cada falla en la divulgación como un acto o práctica engañosa según el Capítulo 37-24, que proporciona remedios adicionales, incluyendo medidas cautelares, restitución al consumidor y sanciones civiles.
Honorarios de abogados y costos
El Fiscal General puede recuperar los honorarios de abogados y los costos asociados con cualquier acción de aplicación de la ley.
Sin derecho de acción privada
La ley de notificación de violaciones de Dakota del Sur no crea un derecho de acción privada. Solo el Fiscal General puede hacer cumplir el estatuto. Los individuos pueden presentar reclamaciones bajo otras teorías legales, como negligencia, pero no según el propio estatuto de notificación de violaciones.
Más leyes de Dakota del Sur
- Leyes de Grabación con IA en Reuniones de Dakota del Sur
- Leyes de Pensión Alimenticia de Dakota del Sur
- Leyes de Empleo a Voluntad de Dakota del Sur
- Leyes de Accidentes de Auto de Dakota del Sur
- Leyes de Asientos de Auto de Dakota del Sur
- Leyes de Custodia de Menores de Dakota del Sur
- Leyes de Manutención de Menores de Dakota del Sur
- Leyes de Matrimonio de Hecho de Dakota del Sur
- Leyes de Deepfake de Dakota del Sur
- Leyes de Divorcio de Dakota del Sur
- Leyes de Mordeduras de Perro de Dakota del Sur
- Leyes de Emancipación de Dakota del Sur
- Leyes de Eliminación de Antecedentes de Dakota del Sur
- Leyes de Choque y Fuga de Dakota del Sur
- Leyes de Propietarios e Inquilinos de Dakota del Sur
- Leyes del Limón de Dakota del Sur
Este artículo proporciona información legal general sobre las leyes de privacidad de datos de Dakota del Sur y los requisitos de notificación de violaciones. No constituye asesoría legal ni crea una relación abogado-cliente. La respuesta ante una violación de datos implica obligaciones sujetas a plazos de tiempo. Consulte a un abogado calificado con licencia en Dakota del Sur para obtener orientación específica sobre su situación.
Preguntas frecuentes
¿Con qué rapidez debe una empresa notificar a los residentes de Dakota del Sur después de una violación de datos?
Dakota del Sur exige la notificación dentro de 60 días de descubrir o ser notificada de la violación. Si las autoridades solicitan una demora porque la notificación impediría una investigación criminal, la notificación debe enviarse dentro de 30 días después de que las autoridades determinen que ya no comprometerá la investigación. Una excepción: tras investigar y notificar al Fiscal General, una empresa que determine razonablemente que la violación probablemente no resultará en daño no está obligada a notificar a los individuos, aunque debe documentar esa determinación por escrito durante al menos tres años.
¿Cuándo debe notificarse al Fiscal General de Dakota del Sur sobre una violación de datos?
El Fiscal General debe ser notificado por correo postal o electrónico cuando una violación afecta a más de 250 residentes de Dakota del Sur. Este es uno de los umbrales de notificación al Fiscal General más bajos del país. Las agencias de reporte de crédito también deben ser notificadas cuando se requiere la notificación al Fiscal General.
¿Cuál es la diferencia entre información personal e información protegida según la ley de Dakota del Sur?
La información personal requiere un nombre combinado con elementos de datos como números de identificación gubernamental, datos de cuentas financieras, información de salud o identificaciones asignadas por el empleador con datos biométricos. La información protegida no requiere un nombre. Cubre nombres de usuario o direcciones de correo electrónico combinados con contraseñas o respuestas de seguridad, y números de cuentas financieras con códigos de acceso. Ambas categorías activan las obligaciones de notificación.
¿Cuáles son las sanciones por no notificar una violación de datos en Dakota del Sur?
El Fiscal General puede buscar sanciones civiles de hasta $10,000 por día por violación, más honorarios de abogados y costos. Las violaciones también pueden procesarse como actos engañosos según el Capítulo 37-24, que proporciona remedios adicionales. No existe un derecho de acción privada para los individuos.
¿La ley de notificación de violaciones de Dakota del Sur cubre información de salud?
Sí. Dakota del Sur define la información de salud por referencia a 45 CFR 160.103, la definición de HIPAA. Esto cubre información relacionada con condiciones de salud física o mental pasadas, presentes o futuras, la prestación de atención médica o el pago de atención médica creada o recibida por proveedores de atención médica, planes de salud, empleadores, escuelas o cámaras de compensación.
¿Afectado por una filtración de datos o una violación de privacidad biométrica?
Si sus datos personales quedaron expuestos en una filtración, o si su huella dactilar o escaneo facial se recopiló sin su consentimiento, podría ser elegible para unirse a un reclamo por compensación. Averígüelo gratis y sin compromiso.
Actualizaciones
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Se corrigió la cita de la exención de cumplimiento HIPAA/GLBA de Dakota del Sur (SDCL 22-40-26, no 22-40-23) y se corrigió una afirmación que subestimaba la cobertura del número de Seguro Social en la definición de información personal.
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en 4 disposiciones legales conservadas en nuestro propio registro jurídico, cada una obtenida de la fuente oficial. Toque una sección para leer el texto vigente.
Code of Federal Regulations Title 45
§ 160.103Definitions.Vigentecitada en 10 de nuestros artículos
Except as otherwise provided, the following definitions apply to this subchapter: Act means the Social Security Act. Administrative simplification provision means any requirement or prohibition established by: (1) 42 U.S.C. 1320d-1320d-4, 1320d-7, 1320d-8, and 1320d-9; (2) Section 264 of Pub. L. 104-191; (3) Sections 13400-13424 of Public Law 111-5; or (4) This subchapter. ALJ means Administrative Law Judge. ANSI stands for the American National Standards Institute. Business associate: (1) Except as provided in paragraph (4) of this definition, business associate means, with respect to a covered entity, a person who: (i) On behalf of such covered entity or of an organized health care arrangement (as defined in this section) in which the covered entity participates, but other than in the capacity of a member of the workforce of such covered entity or arrangement, creates, receives, maintains, or transmits protected health information for a function or activity regulated by this subchapter, including claims processing or administration, data analysis, processing or administration, utilization review, quality assurance, patient safety activities listed at 42 CFR 3.20, billing,…
Texto oficial (extracto) · al 2026-07-28 · Lea la sección completa en ecfr.gov
Citada en 374 opiniones judicialesAplicada por un tribunal por última vez: 2026
En los tribunales (resumen editorial, verificado de forma independiente):Los tribunales han aplicado el § 160.103 para interpretar las definiciones de la HIPAA, incluyendo Northwestern Memorial Hospital v. Ashcroft (7th Cir. 2004), que abordó la información de salud individualmente identificable, y Kenneth Wilson v. UnitedHealthcare (4th Cir. 2022), que abordó un subconjunto de información de salud bajo la definición.
Casos destacados: Northwestern Memorial Hospital v. John Ashcroft, Attorney General of the United States (Court of Appeals for the Seventh Circuit 2004, 362 F.3d 923) · Florida Ex Rel. Attorney General v. United States Department of Health & Human Services (Court of Appeals for the Eleventh Circuit 2011, 648 F.3d 1235) · Zani v. Rite Aid Headquarters Corp. (District Court, S.D. New York 2017, 246 F. Supp. 3d 835)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
South Dakota Codified Laws, Chapter 22-40: IDENTITY CRIMES
§ 22-40-19Definition of terms in §§ 22-40-19 to 22-40-26.Vigentecitada en 4 de nuestros artículos
Terms in §§ 22-40-19 to 22-40-26, inclusive, mean: (1) "Breach of system security," the unauthorized acquisition of unencrypted computerized data or encrypted computerized data and the encryption key by any person that materially compromises the security, confidentiality, or integrity of personal or protected information maintained by the information holder. The term does not include the good faith acquisition of personal or protected information by an employee or agent of the information holder for the purposes of the information holder if the personal or protected information is not used or subject to further unauthorized disclosure; (2) "Encrypted," computerized data that is rendered unusable, unreadable, or indecipherable without the use of a decryption process or key or in accordance with the Federal Information Processing Standard 140-2 in effect on January 1, 2018; (3) "Information holder," any person or business that conducts business in this state, and that owns or licenses computerized personal or protected information of residents of this state; (4) "Personal information," a person's first name or first initial and last name, in combination with any one or more of…
Texto oficial (extracto) · al 2026-07-30 · Lea la sección completa en sdlegislature.gov
§ 22-40-20Notice of breach of system security--Exception.Vigentecitada en 3 de nuestros artículos
Following the discovery by or notification to an information holder of a breach of system security an information holder shall disclose in accordance with § 22-40-22 the breach of system security to any resident of this state whose personal or protected information was, or is reasonably believed to have been, acquired by an unauthorized person. A disclosure under this section shall be made not later than sixty days from the discovery or notification of the breach of system security, unless a longer period of time is required due to the legitimate needs of law enforcement as provided under § 22-40-21. An information holder is not required to make a disclosure under this section if, following an appropriate investigation and notice to the attorney general, the information holder reasonably determines that the breach will not likely result in harm to the affected person. The information holder shall document the determination under this section in writing and maintain the documentation for not less than three years.
Texto oficial (extracto) · al 2026-07-30 · Lea la sección completa en sdlegislature.gov
§ 22-40-25Prosecution for violations.Vigentecitada en 3 de nuestros artículos
The attorney general may prosecute each failure to disclose under the provisions of §§ 22-40-19 to 22-40-26, inclusive, as a deceptive act or practice under § 37-24-6. In addition to any remedy provided under chapter 37-24, the attorney general may bring an action to recover on behalf of the state a civil penalty of not more than ten thousand dollars per day per violation. The attorney general may recover attorney's fees and any costs associated with any action brought under this section.
Texto oficial (extracto) · al 2026-07-30 · Lea la sección completa en sdlegislature.gov
Fuentes y referencias
- Leyes Codificadas de Dakota del Sur Capítulo 22-40 - Delitos de Identidad(sdlegislature.gov).gov
- Sección 22-40-19 - Definiciones(law.justia.com)
- Sección 22-40-20 - Aviso de Violación(law.justia.com)
- Sección 22-40-25 - Procesamiento por Violaciones(law.justia.com)
- Protección al Consumidor de Dakota del Sur - Violaciones de Seguridad(consumer.sd.gov).gov