Leyes de Privacidad Biométrica por Estado (2026): BIPA, CUBI y Consentimiento

La mayoría de los estados de EE. UU. no tienen una ley dedicada de privacidad biométrica. Solo Illinois (BIPA), Texas (CUBI) y Washington cuentan con estatutos biométricos independientes. Cerca de veinte estados más protegen los datos biométricos como datos sensibles bajo una ley de privacidad del consumidor más amplia, y el resto los cubre únicamente mediante reglas de notificación de violación de datos. No existe una ley federal de privacidad biométrica.

Alcance jurisdiccional: Esta guía cubre las leyes estatales de privacidad biométrica de EE. UU. (huellas dactilares, geometría facial, huellas de voz, escaneos de retina e iris) a partir de 2026. Es información legal general, no asesoría legal.

¿Qué Estados Tienen Leyes de Privacidad Biométrica?

Un identificador biométrico es una medición de un rasgo físico único, como una huella dactilar, una huella facial, una huella de voz o un escaneo de iris. A partir de 2026, solo tres estados regulan la recopilación de identificadores biométricos mediante un estatuto dedicado. En el resto del país, los datos biométricos están protegidos ya sea como una categoría de datos sensibles bajo una ley general de privacidad del consumidor, o únicamente mediante reglas de notificación de violación de datos. Ninguna ley federal regula específicamente los datos biométricos comerciales, por lo que las protecciones que se le aplican dependen enteramente de su estado.

La distinción más importante es si un estado otorga a las personas un derecho de acción privada, es decir, la capacidad de demandar por su cuenta. Solo Illinois lo hace. Esa única característica es la razón por la que Illinois es el centro de los litigios biométricos en el país.

Las Tres Leyes Biométricas Dedicadas

Illinois, Biometric Information Privacy Act (BIPA), 740 ILCS 14. Promulgada en 2008, BIPA es la ley biométrica más estricta de Estados Unidos. Una entidad privada debe obtener el consentimiento por escrito antes de recopilar el identificador biométrico de una persona, publicar un calendario de retención y destrucción, y nunca vender datos biométricos. BIPA es la única ley biométrica con derecho de acción privada, y establece daños estatutarios de $1,000 por infracción negligente y $5,000 por infracción imprudente o intencional, más honorarios de abogados. La Corte Suprema de Illinois ha resuelto que una persona no necesita probar un daño real para demandar (Rosenbach v. Six Flags, 2019).

Texas, Capture or Use of Biometric Identifier Act (CUBI), Business and Commerce Code § 503.001. Texas exige el consentimiento informado antes de capturar un identificador biométrico con fines comerciales y limita el tiempo que puede conservarse. A diferencia de BIPA, CUBI no tiene derecho de acción privada; solo el Fiscal General de Texas puede hacerla cumplir, con sanciones civiles de hasta $25,000 por infracción.

Washington, RCW 19.375 y la My Health My Data Act. La ley biométrica de Washington de 2017 exige que una empresa proporcione aviso, obtenga consentimiento u ofrezca un mecanismo de exclusión voluntaria antes de inscribir un identificador biométrico en una base de datos con fines comerciales (basta con cumplir una sola de las tres opciones), aplicada por el Fiscal General. Washington fue más allá en 2023 con la My Health My Data Act, que clasifica todos los datos biométricos, no solo los vinculados a la salud, como datos de salud del consumidor protegidos, e incluye un derecho de acción privada.

Los Datos Biométricos como Datos Sensibles Bajo las Leyes Estatales de Privacidad

Aproximadamente veinte estados han aprobado leyes integrales de privacidad del consumidor, y casi todos clasifican los datos biométricos como datos sensibles. Estos incluyen California, Virginia, Colorado, Connecticut, Texas, Oregon, Montana y otros. Bajo estas leyes, una empresa generalmente debe obtener consentimiento previo (opt-in) antes de procesar datos biométricos, aunque California, Utah e Iowa en cambio otorgan a los consumidores un derecho de exclusión voluntaria en lugar de exigir consentimiento previo, y los consumidores adquieren derechos de acceso y eliminación. Colorado fue el más lejos en este grupo. La HB 24-1130, firmada el 31 de mayo de 2024 y vigente desde el 1 de julio de 2025, agregó el C.R.S. 6-1-1314, que exige que un controlador obtenga consentimiento antes de recopilar datos biométricos, que adopte una política escrita de retención y destrucción que elimine un identificador biométrico en la fecha más temprana entre el cumplimiento del propósito de la recopilación, veinticuatro meses después de la última interacción del consumidor con el controlador, o un plazo breve activado por la propia revisión anual del controlador, y que prohíbe categóricamente vender, arrendar o intercambiar identificadores biométricos. También limita las situaciones en las que un empleador puede condicionar el empleo al consentimiento biométrico. Conforme al C.R.S. 6-1-1304(1)(b) enmendado, esos deberes biométricos alcanzan a cualquier controlador que maneje cualquier cantidad de identificadores o datos biométricos, sin importar la cantidad, por lo que una empresa demasiado pequeña para los umbrales habituales de 100,000 o 25,000 consumidores de la ley sigue estando obligada en materia biométrica. Estas protecciones son reales, pero son aplicadas por el Fiscal General estatal, no mediante demandas individuales.

Estados Sin una Ley Biométrica Dedicada

En el resto de los estados, no existe un estatuto que restrinja específicamente la recopilación de identificadores biométricos. Los datos biométricos generalmente todavía figuran como información personal protegida en la ley de notificación de violación de datos del estado, por lo que una empresa que sufre una violación que involucra datos biométricos debe notificar a los residentes afectados. Pero, por lo general, no existe la obligación de obtener consentimiento antes de la recopilación, ni un derecho individual a demandar por la recopilación en sí.

Leyes de Privacidad Biométrica por Estado

La siguiente tabla enlaza a una guía detallada para cada estado. Seleccione su estado para conocer el estatuto específico, las reglas de consentimiento, las sanciones y los cambios recientes.

Estados del Noreste

La tabla siguiente cubre 9 estados del Noreste.

Estados del Medio Oeste

La tabla siguiente cubre 12 estados del Medio Oeste.

Estados del Sur

La tabla siguiente cubre 16 estados del Sur, además del Distrito de Columbia.

Estados del Oeste

La tabla siguiente cubre 13 estados del Oeste.

¿Qué es la Ley de Privacidad de Información Biométrica (BIPA)?

Debido a que BIPA de Illinois genera la mayoría de los litigios biométricos del país, vale la pena entenderla por separado. Para conocer los requisitos de consentimiento y retención del estatuto, los casos históricos y cómo la cuestión de los daños por escaneo afecta a los empleadores, consulte nuestra explicación detallada de BIPA, y para el contexto estatal de Illinois, nuestra guía de privacidad biométrica de Illinois.

Preguntas frecuentes

¿Qué estados tienen leyes de privacidad biométrica?

Solo Illinois (BIPA), Texas (CUBI) y Washington tienen estatutos biométricos independientes. Colorado es un cuarto estado parcial: su ley de privacidad ahora incluye deberes específicos sobre datos biométricos en el C.R.S. 6-1-1314. Cerca de veinte estados más protegen los datos biométricos como datos sensibles bajo una ley integral de privacidad del consumidor, y el resto los cubre únicamente mediante reglas de notificación de violación de datos.

¿Existe una ley federal de privacidad biométrica?

No. No existe una ley federal que regule específicamente la recopilación comercial de identificadores biométricos. La protección depende enteramente del estado donde se recopilen los datos.

¿Puedo demandar a una empresa por recopilar mis datos biométricos?

Solo en Illinois. BIPA es la única ley biométrica con derecho de acción privada, que permite a las personas demandar por daños estatutarios de $1,000 o $5,000 por infracción. Las leyes de Texas y Washington solo son aplicadas por el Fiscal General estatal.

¿Qué se considera un identificador biométrico?

Generalmente, una medición de una característica física única utilizada para identificar a una persona, como una huella dactilar, una huella facial o geometría facial, una huella de voz, o un escaneo de retina o iris. Las definiciones exactas varían según el estado.

¿Las leyes integrales de privacidad protegen los datos biométricos?

Sí. Los estados con leyes integrales de privacidad del consumidor, como California, Virginia, Colorado y Connecticut, tratan los datos biométricos como datos sensibles que generalmente requieren consentimiento previo antes de su procesamiento, junto con derechos de acceso y eliminación. Colorado va más allá que el resto, y agrega deberes específicos de consentimiento, política escrita, retención y prohibición de venta en el C.R.S. 6-1-1314 que se aplican sin importar cuántos datos biométricos maneje un controlador.