Leyes de Privacidad Biométrica de Colorado: Recopilación, Consentimiento y Sanciones (2026)

Colorado regula los datos biométricos mediante dos leyes superpuestas: la Ley de Privacidad de Colorado (C.R.S. § 6-1-1301) clasifica los datos biométricos como datos sensibles que requieren consentimiento afirmativo, y la HB24-1130 (C.R.S. § 6-1-1314), vigente desde el 1 de julio de 2025, agrega obligaciones específicas sobre datos biométricos relacionadas con políticas escritas, plazos de retención y reglas de consentimiento para empleadores.

Colorado se destaca entre los estados de EE. UU. por contar con dos capas superpuestas de protección de la privacidad biométrica. La Ley de Privacidad de Colorado (CPA) ha tratado los datos biométricos como datos sensibles desde 2023, exigiendo consentimiento afirmativo antes de su procesamiento. Luego, en 2024, la legislatura aprobó la HB24-1130, creando un estatuto dedicado de privacidad biométrica (C.R.S. § 6-1-1314) que entró en vigor el 1 de julio de 2025.

Este marco dual otorga a Colorado uno de los regímenes de privacidad biométrica más sólidos del país. Si su organización recopila huellas dactilares, escaneos faciales, huellas de voz u otros identificadores biométricos de residentes de Colorado, debe cumplir tanto con las reglas de datos sensibles de la CPA como con los requisitos específicos de la HB24-1130 sobre datos biométricos.

Para un panorama más amplio del marco de privacidad de Colorado, consulte la guía principal: Leyes de Privacidad de Datos de Colorado.

Qué Cubre la HB24-1130

El Gobernador Jared Polis firmó la HB24-1130 el 31 de mayo de 2024. El proyecto de ley contó con amplio apoyo bipartidista: 34 representantes y 15 senadores figuraron como patrocinadores, y superó la tercera lectura sin un solo voto en contra en ninguna de las cámaras (60-0 en la Cámara, 33-0 en el Senado). Enmienda la CPA al agregar la Sección 6-1-1314, que se enfoca exclusivamente en los identificadores y datos biométricos.

La ley define un identificador biométrico como los datos generados por el procesamiento tecnológico, la medición o el análisis de las características biológicas, físicas o de comportamiento de un consumidor que pueden procesarse para identificar de manera única a una persona. Los ejemplos específicos incluyen:

• Huellas dactilares
• Huellas de voz
• Escaneos de retina o iris
• Mapas faciales, geometría facial o plantillas faciales
• Otros patrones o características biológicas, físicas o de comportamiento únicos

Los datos biométricos se definen como uno o más identificadores biométricos que se utilizan o se pretenden utilizar, individualmente o en combinación con otros datos personales, para identificar a una persona. La ley excluye explícitamente las fotografías, las grabaciones de audio o video, y los datos derivados de estas, a menos que dichos datos se utilicen para fines de identificación.

Una característica destacada de la HB24-1130 es su alcance. La CPA generalmente se aplica solo a las entidades que procesan datos de 100,000 o más residentes de Colorado, o de 25,000 o más residentes si la entidad obtiene ingresos de la venta de datos. La HB24-1130 elimina esos umbrales numéricos para la mayoría de sus obligaciones biométricas, lo que significa que cualquier controlador que procese identificadores biométricos de residentes de Colorado debe obtener consentimiento, proporcionar aviso, publicar una política escrita y seguir el cronograma de retención y destrucción, sin importar el volumen. Existe una excepción: la disposición de derecho de acceso biométrico (C.R.S. § 6-1-1314(5)) se aplica únicamente a un conjunto definido de controladores. La vía principal se basa en el volumen y abarca a una entidad que opera en Colorado, recopila datos biométricos, y que además recopila o procesa los datos personales de 100,000 o más personas durante un año calendario, o recopila y procesa los datos personales de 25,000 o más personas mientras obtiene ingresos o un descuento en el precio de bienes o servicios por la venta de datos personales. Cabe señalar que el estatuto cuenta personas, no residentes de Colorado. Otras dos categorías en el § 6-1-1314(5)(b) no tienen ninguna prueba de volumen: un controlador que controla o es controlado por otro controlador y comparte una marca común con él, y una empresa conjunta o sociedad de no más de dos negocios que comparten entre sí los datos personales de los consumidores.

Requisitos de Consentimiento y Divulgación

La HB24-1130 prohíbe que un controlador recopile un identificador biométrico a menos que primero proporcione aviso y obtenga el consentimiento del consumidor. El aviso debe incluir:

• El propósito específico para recopilar el identificador biométrico
• El período de retención de los datos biométricos
• Si el controlador divulgará el identificador biométrico a algún tercero

Este consentimiento debe ser afirmativo, otorgado libremente, específico, informado e inequívoco. La aceptación general de los términos de servicio no califica. El controlador no puede esconder el consentimiento en letra pequeña ni usar patrones de diseño engañosos para obtenerlo.

Los controladores también enfrentan restricciones sobre lo que pueden hacer con los identificadores biométricos una vez recopilados, y el estatuto trata la venta y la divulgación de manera muy distinta. El C.R.S. § 6-1-1314(4)(b)(I) prohíbe de forma absoluta que un controlador que procese el identificador biométrico de un consumidor lo venda, arriende o intercambie con cualquier entidad. Ninguna excepción se aplica a esta prohibición, de modo que un consumidor no puede otorgar consentimiento para eludirla.

La divulgación es la prohibición más limitada. Conforme al § 6-1-1314(4)(b)(II), un controlador no puede divulgar, volver a divulgar o diseminar de otro modo un identificador biométrico, a menos que el consumidor o su representante legalmente autorizado lo consienta, el consumidor solicite o autorice la divulgación para completar una transacción financiera, la divulgación sea a un procesador y sea necesaria para el propósito que el consumidor consintió, o la ley estatal o federal lo exija.

La compra de identificadores biométricos de otra parte también está restringida. Un controlador no puede comprar datos biométricos a menos que pague al consumidor, obtenga consentimiento, y la compra no esté relacionada con la provisión de los productos o servicios del controlador.

Requisitos de Política Escrita

Cualquier controlador que controle o procese identificadores biométricos debe adoptar una política escrita que cubra:

• Cronograma de retención: Cuánto tiempo se almacenarán los identificadores y datos biométricos
• Protocolo de incidentes de seguridad: Pasos para responder a una violación de datos que pueda comprometer la información biométrica
• Lineamientos de eliminación: Cuándo y cómo se destruirán permanentemente los identificadores biométricos

Los controladores deben poner esta política escrita a disposición del público. Existen excepciones limitadas: las políticas que se aplican únicamente a los empleados actuales o que contienen protocolos internos de respuesta a incidentes no necesitan publicarse.

Estas políticas escritas no son opcionales. Deben estar vigentes antes de que el controlador comience a recopilar identificadores biométricos. La Fiscalía General de Colorado tiene autoridad de reglamentación para establecer estándares adicionales sobre lo que estas políticas deben contener.

Plazos de Retención y Destrucción

La HB24-1130 establece plazos claros para destruir los identificadores biométricos. Los controladores deben destruir permanentemente un identificador biométrico en la fecha más temprana de tres posibles:

1. Propósito cumplido: La fecha en que se haya cumplido el propósito inicial de recopilar el identificador biométrico
2. 24 meses de inactividad: Veinticuatro meses después de que el consumidor interactuó por última vez con el controlador
3. Fecha factible más temprana: No más de 45 días después de que un controlador determine, mediante una revisión anual, que el almacenamiento del identificador biométrico ya no es necesario ni relevante para el propósito de procesamiento declarado

Si el volumen o la complejidad de los datos biométricos hacen impráctico el plazo de 45 días, el controlador puede extenderlo hasta 45 días adicionales. Esto significa que la extensión máxima absoluta es de 90 días desde la fecha en que el controlador determina que los datos ya no son necesarios.

Los controladores deben realizar revisiones anuales para identificar los identificadores biométricos elegibles para eliminación. Esto no es una sugerencia. El estatuto lo exige como parte de la política escrita.

Protecciones Específicas para Empleadores

La HB24-1130 contiene algunas de las protecciones biométricas específicas para empleadores más sólidas del país. La ley traza una línea clara entre lo que los empleadores pueden y no pueden exigir.

Usos permitidos como condición de empleo:

Un empleador puede exigir el consentimiento biométrico como condición de empleo únicamente para estos fines limitados:

• Acceder a una instalación segura o a hardware seguro (excluyendo el rastreo de ubicación o el monitoreo del tiempo de uso de aplicaciones)
• Registrar las horas de inicio y fin de la jornada laboral
• Mejorar la seguridad en el lugar de trabajo
• Proteger la seguridad pública durante emergencias

Conducta prohibida para los empleadores:

Para cualquier uso biométrico fuera de esas cuatro categorías, un empleador no puede exigir que un empleado o candidato consienta como condición de empleo. Los empleadores tampoco pueden tomar represalias contra ningún empleado o candidato que se niegue a otorgar el consentimiento biométrico.

La ley define ampliamente el término "empleado" para incluir a los trabajadores de tiempo completo, medio tiempo, disponibilidad, contratistas, pasantes y becarios. Esto es significativo porque las disposiciones generales de la CPA históricamente excluían los datos personales en el contexto laboral. La HB24-1130 crea una excepción dentro de esa exención para llevar las protecciones biométricas al lugar de trabajo.

Si un empleador recopila huellas dactilares para un reloj checador, eso se encuentra dentro de los usos permitidos. Si el mismo empleador desea usar el reconocimiento facial para rastrear cuánto tiempo pasan los empleados en ciertas áreas del edificio, eso requiere un consentimiento separado y voluntario, y no puede ser una condición para la continuidad del empleo.

Cómo Interactúa la HB24-1130 con la CPA

La Ley de Privacidad de Colorado y la HB24-1130 funcionan como protecciones superpuestas, no como alternativas. Así es como interactúan ambas leyes:

Base de la CPA (vigente desde el 1 de julio de 2023): Los datos biométricos utilizados para identificar a una persona califican como datos sensibles bajo C.R.S. § 6-1-1303(24). Los controladores deben obtener consentimiento afirmativo antes de procesar cualquier dato sensible. Los consumidores tienen derecho a acceder, corregir, eliminar y transferir sus datos biométricos. Se requieren evaluaciones de protección de datos antes de procesar datos sensibles.

Adiciones de la HB24-1130 (vigente desde el 1 de julio de 2025): Además de la base de la CPA, los controladores que procesan identificadores biométricos deben adoptar políticas escritas, seguir cronogramas específicos de retención y destrucción, cumplir con requisitos de divulgación reforzados antes de la recopilación, cumplir con las restricciones sobre la venta o el intercambio de datos biométricos, y seguir las reglas de consentimiento específicas para empleadores.

Un controlador que procese datos biométricos en Colorado debe cumplir con ambos conjuntos de requisitos simultáneamente. La CPA proporciona el marco amplio de datos sensibles, y la HB24-1130 agrega el detalle específico sobre datos biométricos.

Derechos del Consumidor Sobre los Datos Biométricos

Los residentes de Colorado tienen varios derechos sobre su información biométrica bajo el marco combinado de la CPA y la HB24-1130:

• Derecho a saber: Los consumidores pueden preguntar si un controlador recopila sus datos biométricos y qué categorías se recopilan
• Derecho de acceso: Los consumidores pueden solicitar una copia de sus datos biométricos, aunque este derecho específico bajo C.R.S. § 6-1-1314(5) alcanza únicamente a ciertos controladores: aquellos que recopilan o procesan los datos personales de 100,000 o más personas al año (o de 25,000 o más mientras obtienen ingresos por la venta de datos personales), además de controladores afiliados con marca común y empresas conjuntas de dos negocios que comparten datos de consumidores, los cuales no enfrentan ninguna prueba de volumen; los demás controladores igualmente deben cumplir con las obligaciones de consentimiento, aviso y retención
• Derecho a corregir: Los consumidores pueden pedir a un controlador que corrija información biométrica inexacta
• Derecho a eliminar: Los consumidores pueden solicitar la eliminación de sus identificadores biométricos
• Derecho a la portabilidad de datos: Los consumidores pueden descargar y transferir sus datos biométricos en un formato portátil
• Derecho a optar por no participar: La CPA otorga a los consumidores un derecho general a optar por no participar en la venta de datos personales y en la publicidad dirigida. Para los identificadores biométricos, la ley va más allá de un simple derecho a optar por no participar: el § 6-1-1314(4)(b)(I) prohíbe que un controlador los venda, arriende o intercambie por completo

Los controladores deben responder a las solicitudes de derechos de los consumidores y no pueden discriminar a los consumidores que ejercen estos derechos.

Sanciones y Aplicación

La HB24-1130 no crea un derecho de acción privada. Los consumidores individuales no pueden presentar demandas por violaciones a las leyes de privacidad biométrica de Colorado. La autoridad de aplicación recae exclusivamente en la Fiscalía General de Colorado y los fiscales de distrito.

Las violaciones de la CPA, incluidas las disposiciones biométricas, se consideran prácticas comerciales engañosas bajo C.R.S. § 6-1-112. Las sanciones incluyen:

• Hasta $20,000 por violación para violaciones estándar
• Hasta $50,000 por violación cuando la víctima tiene 60 años de edad o más
• Sin límite estatutario en las sanciones agregadas. Colorado anteriormente limitaba una serie relacionada de violaciones a $500,000, pero la HB19-1289 derogó ese límite agregado al elevar los máximos por violación, con vigencia desde el 23 de mayo de 2019. El máximo por violación indicado arriba es ahora el único límite estatutario.

Un cambio importante en la aplicación entró en vigor el 1 de enero de 2025: ya no se requiere el período de subsanación de 60 días que anteriormente daba a las empresas la oportunidad de corregir las violaciones antes de enfrentar sanciones. La Fiscalía General y los fiscales de distrito ahora tienen discreción para perseguir acciones de aplicación de inmediato.

La Fiscalía General también tiene autoridad de reglamentación bajo la HB24-1130 para emitir reglas que implementen las disposiciones biométricas. El Departamento de Derecho de Colorado adoptó enmiendas a las Reglas de la CPA (4 CCR 904-3) en diciembre de 2024, con reglas relacionadas con datos biométricos entrando en vigor junto con la HB24-1130 el 1 de julio de 2025. Estas reglas exigen que los avisos biométricos sean "concretos y definitivos", estén claramente etiquetados dentro de las políticas de privacidad, y se proporcionen antes de la recopilación o de cambios materiales en el procesamiento.

Cómo Se Compara Colorado con la BIPA de Illinois

La ley de privacidad biométrica de Colorado a menudo se compara con la Ley de Privacidad de la Información Biométrica de Illinois (BIPA), el estatuto de privacidad biométrica más agresivo del país. Las diferencias clave:

La ausencia de un derecho de acción privada es la diferencia más significativa. La BIPA de Illinois ha generado cientos de demandas colectivas. El modelo de Colorado, basado únicamente en la aplicación gubernamental, significa que la Fiscalía General decide qué casos perseguir.

Sin embargo, las protecciones específicas para empleadores de Colorado son más detalladas que las de la BIPA de Illinois. La lista explícita de usos laborales permitidos y la disposición contra represalias otorgan a los empleados de Colorado protecciones más claras en el lugar de trabajo.

Más Leyes de Colorado

• Leyes de Grabación de Reuniones con IA de Colorado
• Leyes de Pensión Alimenticia de Colorado
• Leyes de Empleo a Voluntad de Colorado
• Leyes de Accidentes Automovilísticos de Colorado
• Leyes de Asientos de Seguridad para Niños de Colorado
• Leyes de Custodia de Menores de Colorado
• Leyes de Manutención Infantil de Colorado
• Leyes de Matrimonio de Hecho de Colorado
• Leyes de Deepfake de Colorado
• Leyes de Divorcio de Colorado
• Leyes de Mordedura de Perro de Colorado
• Leyes de Emancipación de Colorado
• Leyes de Eliminación de Antecedentes de Colorado
• Leyes de Choque y Fuga de Colorado
• Leyes de Propietario e Inquilino de Colorado
• Leyes del Limón de Colorado

Este artículo tiene fines meramente informativos y no constituye asesoría legal. Las leyes de privacidad biométrica y las interpretaciones de aplicación cambian con el tiempo. Consulte a un abogado con licencia en Colorado para obtener asesoría sobre su situación específica. Última revisión: marzo de 2026.

Preguntas frecuentes

¿Cuándo entró en vigor la ley de privacidad biométrica de Colorado?

La HB24-1130 entró en vigor el 1 de julio de 2025. La Ley de Privacidad de Colorado, que clasifica los datos biométricos como datos sensibles, ha estado vigente desde el 1 de julio de 2023. Ambas leyes se aplican simultáneamente a las organizaciones que procesan datos biométricos de residentes de Colorado.

¿Puede mi empleador exigirme que use un escáner de huellas dactilares en Colorado?

Depende del propósito. Bajo la HB24-1130, los empleadores pueden exigir el consentimiento biométrico como condición de empleo únicamente para el acceso seguro a instalaciones, el registro de las horas de inicio y fin del trabajo, el monitoreo de la seguridad laboral o las emergencias de seguridad pública. Para cualquier otro uso biométrico, el consentimiento debe ser voluntario, y los empleadores no pueden tomar represalias contra los empleados que se nieguen.

¿La ley biométrica de Colorado permite que las personas demanden por violaciones?

No. Colorado no proporciona un derecho de acción privada por violaciones a la privacidad biométrica. Solo la Fiscalía General de Colorado y los fiscales de distrito pueden hacer cumplir la ley. Las sanciones alcanzan hasta $20,000 por violación en casos estándar y hasta $50,000 por violación cuando la víctima tiene 60 años o más.

¿Cuánto tiempo puede una empresa conservar mis datos biométricos en Colorado?

Un controlador debe destruir permanentemente los identificadores biométricos en la fecha más temprana de tres posibles: cuando se cumpla el propósito original de recopilación, 24 meses después de su última interacción con el controlador, o 45 días después de que el controlador determine, mediante una revisión anual, que los datos ya no son necesarios. Se permite una extensión de hasta 45 días adicionales para eliminaciones complejas.

¿Quién debe cumplir con los requisitos de privacidad biométrica de Colorado?

Cualquier controlador que procese identificadores biométricos de residentes de Colorado debe cumplir con las obligaciones de consentimiento, aviso, política escrita y retención de la HB24-1130, sin importar el número de consumidores cuyos datos maneja. Esto es más amplio que la CPA general, que exige procesar datos de al menos 100,000 residentes de Colorado. Un derecho es una excepción: el derecho de acceso específico para datos biométricos bajo C.R.S. § 6-1-1314(5) alcanza a un conjunto más reducido de controladores, principalmente aquellos que recopilan o procesan los datos personales de 100,000 o más personas al año (o de 25,000 o más mientras obtienen ingresos por la venta de datos personales), junto con controladores afiliados con marca común y empresas conjuntas de dos negocios que comparten datos de consumidores, los cuales no enfrentan ninguna prueba de volumen.