Utah
Leyes de Privacidad Biométrica de Utah: Recopilación, Consentimiento y Sanciones (2026)
Verificado de forma independiente contra fuentes primarias (última auditoría: 15 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 15 de agosto de 2026. · 8 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
Utah regula los datos biométricos como datos personales sensibles bajo la Ley de Privacidad del Consumidor de Utah (Código de Utah 13-61), que entró en vigor el 31 de diciembre de 2023. En lugar de exigir consentimiento previo (opt-in), la UCPA exige que las empresas proporcionen aviso y una oportunidad de exclusión voluntaria antes de procesar datos biométricos con fines de identificación. Solo el Fiscal General puede hacerla cumplir.
Utah fue el cuarto estado del país en promulgar una ley integral de privacidad de datos del consumidor cuando el gobernador Spencer Cox firmó el SB 227 en marzo de 2022. La Ley de Privacidad del Consumidor de Utah (UCPA) entró en vigor el 31 de diciembre de 2023, e incluye los datos biométricos dentro de su definición de datos sensibles.
Lo que distingue al enfoque de Utah es su modelo de exclusión voluntaria para datos sensibles. Mientras que estados como Colorado, Virginia y Connecticut exigen que las empresas obtengan consentimiento previo antes de procesar datos biométricos, Utah solo exige que las empresas proporcionen aviso y una oportunidad de exclusión voluntaria. Esto convierte a la UCPA en una de las leyes integrales de privacidad más favorables para las empresas del país.
Para una descripción más amplia de las protecciones de privacidad en el estado, consulte la guía principal de Leyes de Privacidad de Datos de Utah.
Cómo Define la UCPA los Datos Biométricos
Según el Código de Utah 13-61-101, los datos biométricos significan datos generados por mediciones automáticas de las características biológicas únicas de una persona. El estatuto enumera específicamente estos ejemplos:
- Huellas dactilares
- Huellas de voz
- Retinas oculares
- Iris
- Otros patrones o características biológicas únicas utilizadas para identificar a una persona específica
La definición excluye explícitamente varias categorías de datos:
- Fotografías físicas o digitales
- Grabaciones de video o audio
- Datos generados a partir de fotografías o grabaciones
- Información capturada de un paciente en un entorno de atención médica
- Información recopilada, utilizada o almacenada para el tratamiento, pago u operaciones de atención médica bajo HIPAA
Esta definición se asemeja mucho al enfoque adoptado por Virginia y Colorado. Es más limitada que la BIPA de Illinois, que cubre un conjunto más amplio de identificadores biométricos.
Clasificación de Datos Sensibles y Derechos de Exclusión Voluntaria
La UCPA clasifica los datos biométricos procesados con el propósito de identificar a una persona específica como "datos sensibles". Este es el nivel de protección más alto bajo la ley. Otras categorías de datos sensibles incluyen:
- Origen racial o étnico
- Creencias religiosas
- Orientación sexual
- Ciudadanía o estatus migratorio
- Historial médico o condiciones de salud
- Datos genéticos procesados con fines de identificación
- Datos de geolocalización (dentro de 1,750 pies)
Según el Código de Utah 13-61-302, una empresa que actúa como controlador de datos no puede procesar datos sensibles sin antes presentar al consumidor un aviso claro y una oportunidad de excluirse.
Exclusión Voluntaria frente a Consentimiento Previo: Por Qué Importa
La distinción entre exclusión voluntaria y consentimiento previo es significativa para la protección de datos biométricos. Bajo el modelo de exclusión voluntaria de Utah, una empresa puede comenzar a procesar datos biométricos siempre que haya proporcionado aviso y un mecanismo de exclusión voluntaria. El consumidor debe tomar una acción afirmativa para detener el procesamiento.
Bajo un modelo de consentimiento previo, como el utilizado en estados como Illinois y Texas, una empresa no puede procesar datos biométricos en absoluto hasta que el consumidor lo acepte afirmativamente.
En la práctica, los requisitos de exclusión voluntaria resultan en tasas más bajas de participación del consumidor. La mayoría de los consumidores no revisan activamente los avisos de privacidad ni ejercen los derechos de exclusión voluntaria, lo que significa que se procesan más datos biométricos bajo el marco de Utah que bajo estados con modelos de consentimiento previo más estrictos.
Derechos del Consumidor Bajo la UCPA
Los residentes de Utah tienen varios derechos relacionados con sus datos biométricos bajo la UCPA. Estos derechos se aplican a todos los datos personales, incluida la información biométrica.
Derecho a Saber
Los consumidores pueden solicitar la confirmación de si una empresa está procesando sus datos personales, incluidos los datos biométricos, y pueden acceder a esos datos.
Derecho a Eliminar
Los consumidores pueden solicitar la eliminación de los datos personales que el consumidor proporcionó al controlador, incluidos los datos biométricos que enviaron directamente.
Derecho a la Portabilidad de Datos
Los consumidores pueden obtener una copia de sus datos personales en un formato portable y fácilmente utilizable, en la medida técnicamente factible.
Derecho a Corregir
Los consumidores pueden solicitar que un controlador corrija inexactitudes en sus datos personales, incluidos los datos biométricos. Este derecho fue añadido al Código de Utah 13-61-201 por el Capítulo 468 de la Sesión General de 2025 y está actualmente vigente.
Derecho a Excluirse de la Publicidad Dirigida y la Venta
Los consumidores pueden optar por excluirse del procesamiento de datos personales para publicidad dirigida o la venta de datos personales. Esto es independiente del derecho de exclusión voluntaria para datos sensibles.
Derecho a la No Discriminación
Según el Código de Utah 13-61-302, un controlador no puede discriminar a un consumidor por ejercer cualquiera de estos derechos. Esto significa que una empresa no puede negar servicios, cobrar precios diferentes ni ofrecer un nivel de servicio inferior a los consumidores que se excluyan del procesamiento de datos biométricos.
Plazo de Respuesta
Las empresas deben responder a las solicitudes de derechos del consumidor dentro de 45 días. Se permite una extensión de hasta 45 días adicionales cuando sea razonablemente necesaria, siempre que la empresa notifique al consumidor sobre la demora y el motivo de esta.
Quién Debe Cumplir
La UCPA se aplica a empresas que cumplan todos los siguientes criterios:
- Realizar negocios en Utah o producir productos o servicios dirigidos a consumidores de Utah
- Tener ingresos anuales de $25 millones o más
- Cumplir uno de dos umbrales de procesamiento de datos: controlar o procesar los datos personales de 100,000 o más consumidores de Utah en un año calendario, O derivar más del 50% de los ingresos brutos de la venta de datos personales y controlar o procesar los datos de 25,000 o más consumidores de Utah
Exenciones
La UCPA incluye amplias exenciones para:
- Entidades gubernamentales y tribus
- Instituciones de educación superior
- Organizaciones sin fines de lucro
- Datos regulados bajo HIPAA (salud)
- Datos regulados bajo GLBA (financieros)
- Datos regulados bajo FCRA (informes de crédito)
- Datos de empleo recopilados en el contexto de un solicitante de empleo o empleado
- Información de contacto entre empresas (business-to-business)
Estas exenciones significan que muchos escenarios comunes de recopilación de datos biométricos, como el control de horario mediante huellas dactilares del empleador o la identificación de pacientes en hospitales, quedan fuera del alcance de la UCPA.
Aplicación y Sanciones
La UCPA es aplicada exclusivamente por el Fiscal General de Utah. La División de Protección al Consumidor de Utah recibe e investiga las quejas de los consumidores y remite las infracciones fundamentadas al Fiscal General, pero no posee por sí misma autoridad de aplicación. No existe un derecho de acción privado.
Proceso de Aplicación
Antes de presentar una demanda, el Fiscal General debe proporcionar a la empresa un aviso por escrito de la presunta infracción y un período de subsanación de 30 días según el Código de Utah 13-61-402. Si la empresa subsana la infracción dentro de 30 días, no se toma ninguna acción.
Si la empresa no logra subsanarla, el Fiscal General puede solicitar sanciones civiles de hasta $7,500 por infracción, más daños reales a los consumidores afectados.
Primera Acción Importante de Aplicación
En mayo de 2025, la División de Protección al Consumidor de Utah emitió su primer aviso de aplicación bajo la UCPA. En junio de 2025, la División y el Fiscal General presentaron una demanda contra Snap, Inc. (la empresa detrás de Snapchat), alegando que Snap violó la UCPA al no informar a los consumidores sobre sus prácticas de recopilación de datos y al no proporcionar a los usuarios una oportunidad de excluirse del procesamiento de datos sensibles, incluida la información biométrica y de geolocalización.
Este caso indica que los reguladores de Utah están dispuestos a emprender acciones de aplicación relacionadas con el procesamiento de datos biométricos bajo la UCPA.
Requisitos de Cumplimiento para las Empresas
Las empresas sujetas a la UCPA que recopilan datos biométricos deben tomar varias medidas para garantizar el cumplimiento.
Aviso de Privacidad
Según el Código de Utah 13-61-302, los controladores deben proporcionar un aviso de privacidad razonablemente accesible y claro que incluya las categorías de datos personales procesados, los propósitos del procesamiento, cómo pueden los consumidores ejercer sus derechos, las categorías de datos compartidos con terceros y las categorías de esos terceros.
Mecanismo de Exclusión Voluntaria
Para los datos biométricos y otros datos sensibles, las empresas deben proporcionar un mecanismo claro de exclusión voluntaria antes de procesarlos. Puede ser un interruptor de configuración, un formulario u otro método razonable. El mecanismo debe ser fácil de encontrar y utilizar.
Seguridad de Datos
Los controladores deben establecer, implementar y mantener prácticas razonables de seguridad de datos administrativas, técnicas y físicas para proteger la confidencialidad, integridad y accesibilidad de los datos personales, incluidos los datos biométricos.
Acuerdos de Procesamiento de Datos
Cuando un controlador contrata a un encargado del procesamiento para manejar datos biométricos, las partes deben celebrar un contrato por escrito que rija los procedimientos de procesamiento de datos del encargado y establezca instrucciones claras, obligaciones de confidencialidad y requisitos de eliminación.
Cómo se Compara Utah con los Estados Vecinos
El enfoque de exclusión voluntaria de Utah para los datos biométricos lo distingue de sus vecinos. Colorado exige consentimiento previo para el procesamiento de datos sensibles, proporcionando una protección más sólida. Nevada adopta un enfoque más limitado centrado en las exclusiones voluntarias de venta de datos.
Wyoming e Idaho carecen de leyes integrales de privacidad y dependen principalmente de estatutos de notificación de violaciones de datos. Montana promulgó la Ley de Privacidad de Datos del Consumidor de Montana con disposiciones sobre datos biométricos que siguen el modelo de consentimiento previo.
Utah no está sola en tomar la ruta de exclusión voluntaria, pero se encuentra en una pequeña minoría. La ley integral de privacidad de Iowa utiliza la misma estructura: el Código de Iowa 715D.1 clasifica los datos biométricos procesados con el propósito de identificar de manera única a una persona natural como datos sensibles, y el Código de Iowa 715D.4 exige únicamente que un controlador presente al consumidor un aviso claro y una oportunidad de excluirse antes de procesar datos sensibles. La mayoría de los demás estados con leyes integrales de privacidad exigen consentimiento previo antes de procesar datos biométricos con fines de identificación.
Más Leyes de Utah
- Utah AI Meeting Recording Laws
- Utah Alimony Laws
- Utah At-Will Employment Laws
- Utah Car Accident Laws
- Utah Car Seat Laws
- Utah Child Custody Laws
- Utah Child Support Laws
- Utah Common Law Marriage Laws
- Utah Deepfake Laws
- Utah Divorce Laws
- Utah Dog Bite Laws
- Utah Emancipation Laws
- Utah Expungement Laws
- Utah Hit and Run Laws
- Utah Landlord-Tenant Laws
- Utah Lemon Laws
Fuentes y Referencias
Este artículo hace referencia a los estatutos de Utah disponibles a través del sitio web de la Legislatura de Utah. Para orientación al consumidor, visite la página de la UCPA de la División de Protección al Consumidor de Utah. Para el texto completo del proyecto de ley registrado, consulte el SB 227. Para información sobre acciones de aplicación, visite la página de Privacidad de Datos del Fiscal General de Utah.
Este artículo proporciona información legal general sobre las leyes de privacidad biométrica de Utah. No constituye asesoría legal. Consulte a un abogado calificado para obtener orientación sobre su situación específica. Las leyes y regulaciones cambian con frecuencia. Verifique los requisitos vigentes a través de fuentes oficiales del gobierno de Utah.
Preguntas frecuentes
¿Exige Utah consentimiento antes de recopilar datos biométricos?
No en el sentido tradicional. Bajo la UCPA, las empresas deben proporcionar a los consumidores un aviso claro y una oportunidad de excluirse antes de procesar datos biométricos con fines de identificación. Esto es diferente del consentimiento previo exigido por estados como Illinois, Texas y Colorado. Una empresa puede procesar datos biométricos siempre que haya proporcionado aviso y un mecanismo de exclusión voluntaria, incluso si el consumidor no toma ninguna acción.
¿Puedo demandar a una empresa en Utah por recopilar mis datos biométricos sin permiso?
No. La UCPA no incluye un derecho de acción privado. Solo el Fiscal General de Utah tiene autoridad para hacer cumplir la ley. Si considera que una empresa violó sus derechos de datos biométricos, puede presentar una queja ante la División de Protección al Consumidor en commerce.utah.gov/dcp, que investiga las quejas y puede remitir el asunto al Fiscal General.
¿Protege la UCPA los datos biométricos recopilados por mi empleador?
No. La UCPA exenta los datos recopilados en el contexto laboral, incluidos los datos de solicitantes de empleo y empleados. Si su empleador recopila huellas dactilares para el control de horario o utiliza reconocimiento facial para el acceso a edificios, la UCPA no regula esa actividad. Ninguna ley separada de Utah rige el uso de datos biométricos por parte del empleador.
¿Qué empresas están cubiertas por la UCPA?
La UCPA se aplica a empresas que realizan negocios en Utah o se dirigen a consumidores de Utah, tienen ingresos anuales de al menos $25 millones, y procesan los datos personales de 100,000 o más consumidores de Utah al año o derivan más del 50% de sus ingresos brutos de la venta de datos personales de 25,000 o más consumidores. Las entidades gubernamentales, las organizaciones sin fines de lucro, las instituciones de educación superior y las entidades reguladas por HIPAA o GLBA están exentas.
¿Cuáles son las sanciones por violar las disposiciones sobre datos biométricos de la UCPA?
El Fiscal General puede imponer sanciones civiles de hasta $7,500 por infracción, más daños reales a los consumidores afectados. Antes de presentar una demanda, el Fiscal General debe proporcionar un aviso de 30 días y un período de subsanación. Si la empresa corrige la infracción dentro de 30 días, no se imponen sanciones. La primera acción de aplicación del estado bajo la UCPA se presentó contra Snap, Inc. en junio de 2025.
¿Afectado por una filtración de datos o una violación de privacidad biométrica?
Si sus datos personales quedaron expuestos en una filtración, o si su huella dactilar o escaneo facial se recopiló sin su consentimiento, podría ser elegible para unirse a un reclamo por compensación. Averígüelo gratis y sin compromiso.
Actualizaciones
Se corrigió la sección comparativa entre estados, que afirmaba incorrectamente que Utah era el único estado cuya ley integral de privacidad usa un modelo de aviso y exclusión voluntaria para datos sensibles; el Código de Iowa 715D.4 adopta el mismo enfoque.
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en las disposiciones legales a continuación, conservadas en nuestro propio registro jurídico y obtenidas de la fuente oficial. Toque una sección para leer el texto vigente.
Utah Code, Title 13: Commerce and Trade
§ 13-61-302Responsibilities of controllers -- Transparency -- Purpose specification and data minimization -- Consent for secondary use -- Security -- Nondiscrimination -- Nonretaliation -- Nonwaiver of consumer rights.Vigentecitada en 5 de nuestros artículos
(1) (a) A controller shall provide consumers with a reasonably accessible and clear privacy notice that includes: (i) the categories of personal data processed by the controller; (ii) the purposes for which the categories of personal data are processed; (iii) how consumers may exercise a right; (iv) the categories of personal data that the controller shares with third parties, if any; and (v) the categories of third parties, if any, with whom the controller shares personal data. (b) If a controller sells a consumer's personal data to one or more third parties or engages in targeted advertising, the controller shall clearly and conspicuously disclose to the consumer the manner in which the consumer may exercise the right to opt out of the: (i) sale of the consumer's personal data; or (ii) processing for targeted advertising. (2) (a) A controller shall establish, implement, and maintain reasonable administrative, technical, and physical data security practices designed to: (i) protect the confidentiality and integrity of personal data; and (ii) reduce reasonably foreseeable risks of harm to consumers relating to the processing of personal data.
Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en le.utah.gov
§ 13-61-101Definitions.Vigentecitada en 7 de nuestros artículos
As used in this chapter: (1) "Account" means the Consumer Privacy Restricted Account established in Section 13-61-403. (2) "Affiliate" means an entity that: (a) controls, is controlled by, or is under common control with another entity; or (b) shares common branding with another entity. (3) "Aggregated data" means information that relates to a group or category of consumers: (a) from which individual consumer identities have been removed; and (b) that is not linked or reasonably linkable to any consumer. (4) "Air carrier" means the same as that term is defined in 49 U.S.C. Sec. 40102. (5) "Authenticate" means to use reasonable means to determine that a consumer's request to exercise the rights described in Section 13-61-201 is made by the consumer who is entitled to exercise those rights. (6) (a) "Biometric data" means data generated by automatic measurements of an individual's unique biological characteristics.
Texto oficial (extracto) · verificado el 2026-07-29 · Lea el texto completo en nuestra biblioteca legal · Verifique en le.utah.gov
§ 13-61-201Consumer rights -- Access -- Deletion -- Portability -- Opt out of certain processing.Vigentecitada en 7 de nuestros artículos
(1) A consumer has the right to: (a) confirm whether a controller is processing the consumer's personal data; and (b) access the consumer's personal data. (2) A consumer has the right to delete the consumer's personal data that the consumer provided to the controller. (3) A consumer has the right to obtain a copy of the consumer's personal data, that the consumer previously provided to the controller, in a format that: (a) to the extent technically feasible, is portable; (b) to the extent practicable, is readily usable; and (c) allows the consumer to transmit the data to another controller without impediment, where the processing is carried out by automated means. (4) A consumer has the right to request that a controller correct inaccuracies in the consumer's personal data, taking into account the nature of the personal data and the purposes of the processing of the consumer's personal data. (5) A consumer has the right to opt out of the processing of the consumer's personal data for purposes of: (a) targeted advertising; or (b) the sale of personal data. (6) Nothing in this section requires a person to cause a breach of security system as defined in Section 13-44-102.
Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en le.utah.gov
También citada en: Cómo solicitar sus datos personales: derechos por estado
§ 13-61-402Enforcement powers of the attorney general.Vigentecitada en 5 de nuestros artículos
(1) The attorney general has the exclusive authority to enforce this chapter. (2) Upon referral from the division, the attorney general may initiate an enforcement action against a controller or processor for a violation of this chapter. (3) (a) At least 30 days before the day on which the attorney general initiates an enforcement action against a controller or processor, the attorney general shall provide the controller or processor: (i) written notice identifying each provision of this chapter the attorney general alleges the controller or processor has violated or is violating; and (ii) an explanation of the basis for each allegation. (b) The attorney general may not initiate an action if the controller or processor: (i) cures the noticed violation within 30 days after the day on which the controller or processor receives the written notice described in Subsection (3)(a); and (ii) provides the attorney general an express written statement that: (A) the violation has been cured; and (B) no further violation of the cured violation will occur.
Texto oficial (extracto) · verificado el 2026-07-29 · Lea el texto completo en nuestra biblioteca legal · Verifique en le.utah.gov
Iowa Code, Chapter 715D: CONSUMER DATA PROTECTIONS
§ 715D.1Definitions.Vigentecitada en 7 de nuestros artículos
As used in this chapter, unless the context otherwise requires: 1. “Affiliate” means a legal entity that controls, is controlled by, or is under common control with another legal entity or shares common branding with another legal entity. For the purposes of this definition, “control” or “controlled” means: a. Ownership of, or the power to vote, more than fifty percent of the outstanding shares of any class of voting security of a company. b. Control in any manner over the election of a majority of the directors or of individuals exercising similar functions. c. The power to exercise controlling influence over the management of a company. 2. “Aggregate data” means information that relates to a group or category of consumers, from which individual consumer identities have been removed, that is not linked or reasonably linkable to any consumer. 3. “Authenticate” means verifying through reasonable means that a consumer, entitled to exercise their consumer rights in section 715D.3, is the same consumer exercising such consumer rights with respect to the personal data at issue. 4.
Texto oficial (extracto) · verificado el 2026-07-29 · Lea el texto completo en nuestra biblioteca legal · Verifique en legis.iowa.gov
§ 715D.4Data controller duties.Vigentecitada en 8 de nuestros artículos
1. A controller shall adopt and implement reasonable administrative, technical, and physical data security practices to protect the confidentiality, integrity, and accessibility of personal data. Such data security practices shall be appropriate to the volume and nature of the personal data at issue. 2. A controller shall not process sensitive data collected from a consumer for a nonexempt purpose without the consumer having been presented with clear notice and an opportunity to opt out of such processing, or, in the case of the processing of sensitive data concerning a known child, without processing such data in accordance with the federal Children’s Online Privacy Protection Act, 15 U.S.C. §6501 et seq. 3. A controller shall not process personal data in violation of state and federal laws that prohibit unlawful discrimination against a consumer. A controller shall not discriminate against a consumer for exercising any of the consumer rights contained in this chapter, including denying goods or services, charging different prices or rates for goods or services, or providing a different level of quality of goods and services to the consumer.
Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en legis.iowa.gov
Citada en 1 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2023
Resoluciones que citan esta sección en nuestra colección:
- Calabretto Building Group v. Tradesmen International, LLC. (Court of Appeals of Iowa 2023)“…s); see also 2023 Iowa Acts ch. 17, § 4 (to be codified at Iowa Code § 715D.4(4)) (voiding terms that “waive or limi…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
Fuentes y referencias
- Código de Utah, Capítulo 13-61 - Ley de Privacidad del Consumidor de Utah(le.utah.gov).gov
- Código de Utah 13-61-101 - Definiciones de la UCPA(le.utah.gov).gov
- Código de Utah 13-61-302 - Responsabilidades del Controlador(le.utah.gov).gov
- SB 227 - Ley de Privacidad del Consumidor de Utah (Registrada)(le.utah.gov).gov
- División de Protección al Consumidor de Utah - UCPA(commerce.utah.gov).gov
- Fiscal General de Utah - Privacidad de Datos(attorneygeneral.utah.gov).gov
- Utah Demanda a Snapchat - Acción de Aplicación de la UCPA(commerce.utah.gov).gov
- Informe de Evaluación de la Ley de Privacidad del Consumidor de Utah(le.utah.gov).gov
- Código de Iowa 715D.1 - Definiciones de Protección de Datos del Consumidor (datos sensibles)(legis.iowa.gov)
- Código de Iowa 715D.4 - Obligaciones del Controlador de Datos (aviso y exclusión voluntaria de datos sensibles)(legis.iowa.gov)