¿Qué obligaciones tiene una empresa al usar biometría para verificar identidad bajo la Ley de Protección de Datos Personales?

Cuando una empresa le pide a un cliente que se tome una selfie y grabe un video mirando a la cámara para verificar su identidad, está recolectando datos biométricos. Eso tiene consecuencias específicas bajo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares — consecuencias distintas y más exigentes que las que aplican a recolectar un nombre o un correo electrónico.

Este artículo explica qué son los datos biométricos bajo esa ley, por qué reciben tratamiento especial y qué obligaciones concretas genera su uso.

Por qué la biometría es un dato especial

La Ley de Protección de Datos Personales distingue entre datos personales ordinarios y datos personales sensibles. Los datos sensibles son los que, si se divulgan o usan indebidamente, pueden originar discriminación o afectar gravemente la esfera más íntima de la persona.

Los datos biométricos — características físicas únicas que permiten identificar a una persona, como el patrón facial, las huellas dactilares o el iris — caen dentro de esa categoría. No porque sean confidenciales en el sentido de que nadie más los pueda ver, sino porque son inmutables: si se compromete una contraseña, puedes cambiarla; si se comprometen tus datos biométricos, no hay manera de cambiarlos.

Esa característica de permanencia es lo que justifica el tratamiento reforzado que la ley les da.

Las obligaciones que genera el uso de biometría

1. Aviso de privacidad específico y previo

Antes de recolectar cualquier dato biométrico, la empresa debe presentar al usuario un aviso de privacidad que informe de forma clara:

• Qué datos biométricos se van a recolectar (imagen del rostro, video de liveness, huellas si aplica)

• Para qué finalidad específica se usan (verificación de identidad en el proceso de contratación, por ejemplo)

• Si esos datos se transfieren a terceros para su procesamiento y quiénes son esos terceros

• Por cuánto tiempo se conservarán

• Cómo puede el titular ejercer sus derechos sobre esos datos

El aviso no puede ser genérico ni estar enterrado en los términos y condiciones generales del servicio. Debe ser claro, específico sobre los datos biométricos y presentarse en el momento en que se van a recolectar.

2. Consentimiento expreso, no tácito

Para datos personales ordinarios, la ley admite consentimiento tácito — el usuario continúa usando el servicio después de ver el aviso y eso se interpreta como aceptación. Para datos sensibles, incluyendo biometría, eso no es suficiente.

La ley exige consentimiento expreso y por escrito, que en el contexto digital puede ser electrónico. Esto significa que el usuario debe confirmar activamente — con una acción deliberada, no solo continuar el flujo — que acepta que sus datos biométricos sean recolectados y tratados para la finalidad informada.

Un checkbox marcado activamente antes de iniciar la captura biométrica, con el texto del consentimiento visible, cumple ese requisito. Un checkbox pre-marcado o una continuación automática del flujo no lo cumple.

3. Principio de finalidad: usar los datos solo para lo que se informó

Los datos biométricos recolectados para verificar identidad en el onboarding no pueden usarse después para otras finalidades no informadas — análisis de comportamiento, reconocimiento facial en otros contextos, entrenamiento de modelos de IA, publicidad dirigida.

Si la empresa quiere usar los datos biométricos para una finalidad adicional a la informada originalmente, necesita recabar un nuevo consentimiento expreso para esa finalidad nueva.

4. Principio de proporcionalidad: recolectar solo lo necesario

La empresa no puede recolectar más datos biométricos de los estrictamente necesarios para la finalidad declarada. Si el objetivo es verificar que la persona que se está identificando es el titular del documento de identidad, el proceso debe limitarse a lo que eso requiere — no recolectar datos biométricos adicionales que no son necesarios para ese fin.

5. Medidas de seguridad reforzadas

La ley exige que todos los datos personales estén protegidos con medidas de seguridad administrativas, físicas y técnicas. Para datos sensibles como la biometría, esas medidas deben ser proporcionales al nivel de riesgo que representaría su divulgación o uso indebido.

En la práctica, esto implica:

• Cifrado de las imágenes y datos biométricos en tránsito y en reposo

• Control de acceso estricto — solo las personas con necesidad operativa pueden acceder a los datos biométricos de un usuario

• Registro de auditoría de quién accede a qué y cuándo

• Política de retención que defina por cuánto tiempo se conservan las imágenes y qué pasa con ellas al vencer ese plazo

6. Transferencias a terceros: contrato de transmisión obligatorio

En la mayoría de los procesos de verificación biométrica, una empresa contrata a un proveedor externo que procesa las imágenes, ejecuta el face match y el liveness, y devuelve un resultado. Esa transferencia de datos biométricos al proveedor debe estar declarada en el aviso de privacidad y debe estar respaldada por un contrato de transmisión de datos que obligue al proveedor a las mismas condiciones de protección que aplican al responsable.

Sin ese contrato, la transferencia es un incumplimiento de la ley, independientemente de que el proveedor sea confiable en la práctica.

7. Derechos ARCO aplicados a datos biométricos

Los usuarios tienen derecho de Acceso, Rectificación, Cancelación y Oposición sobre todos sus datos personales, incluyendo los biométricos. La empresa debe tener un procedimiento para responder esas solicitudes dentro de los plazos que establece la ley.

El derecho de cancelación tiene una particularidad relevante: si la empresa tiene una obligación legal de conservar el expediente de identificación durante un periodo determinado — por regulación financiera, por la LACP, por disposiciones de la CNBV — puede negarse a eliminar los datos durante ese periodo, siempre que lo informe así al titular en el aviso de privacidad y en la respuesta a la solicitud.

La relación entre biometría y cumplimiento regulatorio

Hay un punto que genera confusión: muchas empresas usan biometría precisamente porque la regulación financiera las obliga a verificar la identidad de sus clientes. ¿Cómo se conjuga esa obligación con los requisitos de la Ley de Protección de Datos?

Ambas obligaciones coexisten y no se contradicen. La regulación financiera define qué se debe verificar y por cuánto tiempo debe conservarse la evidencia. La Ley de Protección de Datos define cómo debe informarse al titular, obtenerse su consentimiento y protegerse esa información durante el tiempo que deba conservarse.

La obligación regulatoria de identificar al cliente no exime a la empresa de obtener el consentimiento del titular para el tratamiento de sus datos biométricos. Sí puede ser la causa legal que justifica conservar esos datos aunque el titular solicite su cancelación antes de que venza el plazo regulatorio.

Qué debe revisar una empresa antes de lanzar su proceso de verificación biométrica

Antes de poner en producción un flujo de onboarding con verificación biométrica, vale la pena verificar que:

• El aviso de privacidad menciona explícitamente los datos biométricos y su finalidad

• El flujo solicita consentimiento expreso activo antes de iniciar la captura

• Existe un contrato de transmisión de datos con el proveedor de KYC

• La empresa tiene un procedimiento documentado para atender derechos ARCO

• Las imágenes y datos biométricos están cifrados y el acceso está controlado

• Existe una política de retención que define por cuánto tiempo se conservan las imágenes

Preguntas frecuentes

¿Aplica la Ley de Protección de Datos si el proceso de verificación biométrica lo hace completamente el proveedor y la empresa nunca "ve" las imágenes? Sí. La empresa es el responsable del tratamiento porque define la finalidad del proceso y determina qué datos se recolectan. El proveedor que procesa las imágenes actúa como encargado. La responsabilidad ante el INAI recae en la empresa, no en el proveedor.

¿El score del face match es un dato biométrico? El score en sí — un número entre 0 y 1 que indica similitud — puede no serlo por sí solo. Pero las imágenes a partir de las cuales se genera sí lo son. Si la empresa conserva las imágenes, está conservando datos biométricos. Si solo conserva el score final sin las imágenes, el análisis es diferente, aunque la finalidad del tratamiento sigue siendo biométrica.

¿La verificación de liveness requiere consentimiento separado del face match? Ambos forman parte del mismo proceso de verificación de identidad biométrica. Un solo consentimiento que describa claramente el proceso completo — captura de imagen del documento, selfie, video de prueba de vida — es suficiente, siempre que sea expreso y específico.

¿Las imágenes del KYC pueden usarse para entrenar modelos de IA? No, salvo que esa finalidad esté declarada en el aviso de privacidad y el usuario haya dado consentimiento expreso específicamente para ese uso. Usar imágenes recolectadas para verificación de identidad para entrenar modelos sin consentimiento adicional es un incumplimiento de los principios de finalidad y proporcionalidad.

¿El INAI puede sancionar por una brecha de seguridad que exponga datos biométricos? Sí. Si la empresa no implementó las medidas de seguridad que le eran exigibles y eso derivó en una vulneración de los datos biométricos de sus usuarios, el INAI puede iniciar un procedimiento sancionador. Las multas para datos sensibles son más altas que para datos ordinarios.

Verificación biométrica con consentimiento y protección desde el diseño

DIGID solicita el consentimiento expreso del usuario antes de iniciar la captura, transmite los datos cifrados y documenta cada paso del proceso. La empresa integra el flujo; el cumplimiento va incorporado.

Habla con tu ejecutivo de DIGID para revisar cómo tu implementación cubre los requisitos de la Ley de Protección de Datos para datos biométricos.