Leyes de Privacidad Biométrica de Connecticut: Recopilación, Consentimiento y Sanciones (2026)

Connecticut regula los datos biométricos bajo la Ley de Privacidad de Datos de Connecticut (CTDPA, Conn. Gen. Stat. 42-515 y siguientes), que clasifica los identificadores biométricos como huellas dactilares y huellas de voz como datos sensibles. Las empresas deben obtener consentimiento de inclusión voluntaria antes de recopilar datos biométricos de residentes de Connecticut. Connecticut no tiene un estatuto biométrico independiente como la BIPA de Illinois.

Connecticut ofrece algunas de las protecciones de privacidad biométrica más sólidas del noreste de Estados Unidos. En lugar de promulgar una ley biométrica independiente como hizo Illinois con la BIPA, Connecticut incorporó las protecciones de datos biométricos en su Ley de Privacidad de Datos de Connecticut (CTDPA), integral, firmada como PA 22-15 el 10 de mayo de 2022, y vigente desde el 1 de julio de 2023.

La CTDPA trata los datos biométricos como datos sensibles, lo que activa un estándar de protección más alto que los datos personales ordinarios. Cualquier empresa que recopile huellas dactilares, escaneos faciales, huellas de voz o identificadores similares de residentes de Connecticut debe obtener primero un consentimiento afirmativo.

Para un contexto más amplio sobre el marco general de privacidad de Connecticut, consulte la guía principal sobre las Leyes de Privacidad de Datos de Connecticut.

Cómo Define la CTDPA los Datos Biométricos

Bajo Conn. Gen. Stat. 42-515(3), "datos biométricos" significa datos generados por mediciones automáticas de las características biológicas de una persona. El estatuto enumera ejemplos específicos:

• Huellas dactilares recopiladas a través de escáneres o dispositivos táctiles
• Huellas de voz capturadas a través de sistemas de reconocimiento de voz
• Retinas e iris del ojo escaneados con fines de identificación
• Otros patrones o características biológicas únicos usados para identificar a una persona específica

La definición incluye una excepción importante. Las fotografías, grabaciones de audio y grabaciones de video no califican como datos biométricos a menos que se procesen específicamente para generar una plantilla de identificador biométrico. Una cámara de seguridad que graba un vestíbulo, por ejemplo, no es un dato biométrico. Pero pasar esas imágenes por un software de reconocimiento facial para extraer mediciones de geometría facial crearía datos biométricos sujetos a la CTDPA.

Definición Ampliada de 2025

Las reformas de 2025 a la CTDPA ampliaron lo que califica como información biométrica protegida de dos maneras significativas. Primero, la ley ahora cubre la "información derivada" de los datos biométricos, no solo los datos biométricos crudos en sí. Segundo, la legislatura agregó los "datos neuronales" como una nueva categoría de datos sensibles, convirtiendo a Connecticut en uno de los primeros estados junto con California y Colorado en proteger los datos de interfaces cerebro-computadora.

Las reformas también eliminaron el requisito de que los datos biométricos debían ser "procesados con el propósito de identificar de manera única a una persona" para calificar como datos sensibles. Bajo la ley actualizada, los datos biométricos son sensibles independientemente de si el controlador los está usando activamente para identificación.

Quién Debe Cumplir

La CTDPA aplica a cualquier persona que haga negocios en Connecticut o produzca productos o servicios dirigidos a residentes de Connecticut y que, durante el año calendario anterior, haya cumplido con uno de estos umbrales (vigentes desde el 1 de julio de 2026, bajo la PA 25-113):

• Controló o procesó los datos personales de al menos 35,000 consumidores (excluyendo los datos procesados únicamente para transacciones de pago),
• Controló o procesó cualquier cantidad de datos sensibles de los consumidores (lo cual incluye datos biométricos), excluyendo los datos sensibles procesados únicamente para transacciones de pago, u
• Ofreció los datos personales de los consumidores para su venta en el comercio

Estos umbrales reemplazan la prueba original de la CTDPA de 100,000 consumidores / 25,000 consumidores más el 25% de los ingresos. Debido a que el disparador de datos sensibles no tiene un piso numérico, cualquier entidad que controle o procese cualquier cantidad de datos sensibles de residentes de Connecticut (lo cual incluye datos biométricos) debe cumplir con la CTDPA sin importar su tamaño, con la misma excepción para transacciones de pago.

Esto significa que incluso las pequeñas empresas que recopilan huellas dactilares para relojes de asistencia de empleados o usan reconocimiento facial para el acceso a edificios ahora caen bajo la CTDPA si manejan datos biométricos de residentes de Connecticut.

Exenciones

La CTDPA exime a ciertas entidades y tipos de datos de la cobertura:

• Agencias gubernamentales y entidades que actúan en nombre del gobierno estatal o local
• Organizaciones sin fines de lucro
• Instituciones de educación superior
• Datos protegidos bajo HIPAA, GLBA (Ley Gramm-Leach-Bliley) y ciertos otros marcos federales
• Datos de empleados y contactos comerciales (aunque las reformas de 2025 redujeron esta exención para el procesamiento de datos sensibles)

Requisitos de Consentimiento para Datos Biométricos

Debido a que los datos biométricos califican como datos sensibles, los controladores deben obtener el consentimiento de inclusión voluntaria del consumidor antes de procesarlos. Este es un estándar más alto que el de los datos personales ordinarios, donde los controladores solo necesitan proporcionar aviso y respetar las solicitudes de exclusión voluntaria.

El consentimiento debe ser:

• Otorgado libremente por el consumidor sin coerción
• Informado, lo que significa que el consumidor entiende qué datos biométricos se están recopilando y cómo se usarán
• Específico para la actividad de procesamiento biométrico
• Inequívoco, demostrado a través de una acción afirmativa clara

Los controladores no pueden ocultar el consentimiento dentro de un acuerdo general de términos de servicio. La CTDPA exige que el consentimiento para el procesamiento de datos sensibles sea separado y distinto de otros permisos.

Requisitos de Tecnología de Reconocimiento Facial

Las reglas específicas de reconocimiento facial de Connecticut no provienen de las reformas de 2025. Provienen de una ley separada, la Public Act 26-64 (SB 4), firmada por el gobernador Lamont el 27 de mayo de 2026. Estas disposiciones aún no están vigentes; entrarán en vigor el 1 de octubre de 2026. Una vez en vigor, un controlador que use tecnología de reconocimiento facial en sus instalaciones con fines de seguridad o prevención de pérdidas (para prevenir, detectar o responder a incidentes de seguridad, fraude o actividad ilegal similar) deberá:

• Comparar únicamente contra su propia base de datos: la tecnología solo puede comparar imágenes o video con una base de datos que el propio controlador mantenga, no con conjuntos de datos de terceros o públicos
• Colocar señalización en las entradas: la señalización en cada entrada de las instalaciones debe alertar a los consumidores de que se está usando tecnología de reconocimiento facial e incluir un hipervínculo o código QR a la política de tecnología de reconocimiento facial del controlador, la cual debe indicar la información de contacto de la Fiscalía General

La PA 26-64 no exige aviso al consumidor, consentimiento, un mecanismo de revocación, ni capacitación del personal sobre sesgo y discriminación para el uso de reconocimiento facial; ninguna de esas obligaciones aparece en el texto promulgado. Por separado, la oficina de la Fiscalía General de Connecticut ha recibido quejas sobre supermercados que usan software biométrico para la detección de hurtos y declaró, en un reporte anterior de cumplimiento de la CTDPA, que "las empresas que despliegan FRT deben cumplir con la CTDPA" sin excepción general para la prevención de pérdidas.

Evaluaciones de Protección de Datos

Los controladores que procesan datos biométricos deben realizar evaluaciones de protección de datos (DPA) antes de comenzar ese procesamiento. Bajo Conn. Gen. Stat. 42-522, se requiere una DPA para cualquier procesamiento que presente un "riesgo elevado de daño a un consumidor", lo cual incluye explícitamente el procesamiento de datos sensibles.

Cada evaluación debe sopesar los beneficios del procesamiento contra los riesgos potenciales para los consumidores, considerando:

• El uso de datos desidentificados cuando sea posible
• Las expectativas razonables de los consumidores
• La relación entre el procesamiento y el propósito declarado
• Cualquier salvaguarda que el controlador haya implementado

Para los datos biométricos usados en perfilamiento que produce efectos legales o similarmente significativos, las reformas de 2025 exigen que los controladores documenten las entradas y salidas de datos, las métricas de rendimiento, y las salvaguardas específicas contra el sesgo y la discriminación.

Las DPA deben ponerse a disposición de la Fiscalía General a solicitud.

Cumplimiento y Sanciones

La Fiscalía General de Connecticut tiene autoridad exclusiva de cumplimiento sobre la CTDPA. No existe un derecho de acción privado, lo que significa que las personas no pueden presentar demandas contra las empresas por infracciones de privacidad biométrica.

Cronología de Cumplimiento

El marco de cumplimiento de la CTDPA ha evolucionado desde que la ley entró en vigor:

• Del 1 de julio de 2023 al 31 de diciembre de 2024: La Fiscalía General debía dar a las empresas un periodo de subsanación de 60 días antes de iniciar una acción de cumplimiento
• Desde el 1 de enero de 2025: El periodo de subsanación expiró. La Fiscalía General ahora puede iniciar el cumplimiento inmediato de las infracciones sin ofrecer primero la oportunidad de corregirlas

Sanciones

Las infracciones de la CTDPA se tratan como prácticas comerciales injustas bajo la Ley de Prácticas Comerciales Justas de Connecticut (CUTPA, Conn. Gen. Stat. 42-110a y siguientes). Las sanciones incluyen:

• Sanciones civiles de hasta $5,000 por infracción deliberada
• Medidas cautelares para detener infracciones en curso
• Restitución a los consumidores afectados
• Desembolso de las ganancias obtenidas a través de infracciones

Actividad de Cumplimiento en 2025

El Fiscal General William Tong publicó un reporte de cumplimiento de 2025 que documenta el primer año completo de cumplimiento activo de la CTDPA por parte de la oficina. Los hallazgos clave incluyen:

• La oficina emitió 63 cartas de advertencia y docenas de avisos de infracciones
• Se finalizaron múltiples acuerdos por violaciones de datos, incluyendo un acuerdo de $200,000 con PharMerica (que afectó a 105,000 residentes de Connecticut) y un acuerdo de $200,000 con WebTPA Employer Services
• TicketNetwork pagó $85,000 por infracciones al aviso de privacidad, incluyendo avisos difíciles de leer y mecanismos de derechos inoperables
• Se abrieron investigaciones activas sobre vehículos conectados, plataformas de redes sociales, plataformas de videojuegos, chatbots de IA y corredores de datos

Aunque la oficina de la Fiscalía General todavía no ha anunciado una acción de cumplimiento específica sobre biometría, la oficina ha dejado claro que el cumplimiento de datos biométricos es un área de enfoque, particularmente en torno al despliegue de tecnología de reconocimiento facial.

Datos Biométricos y Notificación de Violación

El estatuto separado de notificación de violación de datos de Connecticut (Conn. Gen. Stat. 36a-701b) proporciona una capa adicional de protección para los datos biométricos.

Cualquier persona que sea propietaria, tenga licencia sobre, o mantenga datos computarizados que contengan información personal debe notificar a la Fiscalía General y a los residentes afectados de Connecticut dentro de 60 días de descubrir una violación. La ley de Connecticut incluye los datos biométricos dentro de su definición de información personal que activa los requisitos de notificación de violación.

Si una violación involucra datos biométricos, la entidad afectada debe:

• Notificar a la Fiscalía General a más tardar cuando se notifica a los residentes
• Notificar a los residentes afectados sin demora injustificada y dentro de 60 días
• Describir las categorías de información involucradas en la violación
• Proporcionar información de contacto de la entidad y las agencias gubernamentales relevantes

El incumplimiento de los requisitos de notificación de violación constituye una infracción de la CUTPA, con el mismo marco de sanciones que las infracciones de la CTDPA.

Obligaciones del Empleador para Datos Biométricos

Los empleadores de Connecticut que usan tecnología biométrica en el lugar de trabajo enfrentan requisitos específicos de cumplimiento bajo la CTDPA. Los usos comunes en el lugar de trabajo incluyen escáneres de huellas dactilares para asistencia, reconocimiento facial para el acceso a edificios, y lectores de geometría de mano o palma para áreas seguras.

Los empleadores deben:

• Obtener consentimiento de inclusión voluntaria de los empleados antes de recopilar cualquier dato biométrico
• Proporcionar un aviso claro que explique qué datos biométricos se recopilan, por qué, y cuánto tiempo se conservarán
• Limitar la recopilación a lo que sea razonablemente necesario para el propósito declarado
• Implementar medidas de seguridad apropiadas para proteger los datos biométricos almacenados
• Establecer cronogramas de retención y eliminación y seguirlos
• Realizar una evaluación de protección de datos antes de desplegar sistemas biométricos

Las reformas de 2025 redujeron la exención de datos de empleados, lo que significa que los empleadores ya no pueden confiar ampliamente en el contexto laboral para evitar las obligaciones de la CTDPA al procesar datos biométricos.

Derechos del Consumidor Sobre los Datos Biométricos

Los residentes de Connecticut tienen varios derechos con respecto a sus datos biométricos bajo la CTDPA:

• Derecho a saber: Los consumidores pueden confirmar si un controlador está procesando sus datos biométricos y acceder a esos datos. Sin embargo, bajo las reformas de 2025, los controladores no pueden divulgar directamente los datos biométricos en si en respuesta a las solicitudes de acceso. En cambio, deben informar a los consumidores "con suficiente particularidad" sobre qué información biométrica se recopiló.
• Derecho de corrección: Los consumidores pueden solicitar la corrección de datos biométricos inexactos.
• Derecho de eliminación: Los consumidores pueden solicitar la eliminación de sus datos biométricos.
• Derecho a la portabilidad de datos: Los consumidores pueden obtener una copia de sus datos en un formato portátil.
• Derecho de exclusión voluntaria: Los consumidores pueden excluirse de la venta de datos biométricos, la publicidad dirigida basada en datos biométricos, y el perfilamiento que usa datos biométricos.
• Derecho a revocar el consentimiento: Los consumidores pueden retirar el consentimiento previamente otorgado para el procesamiento de datos biométricos. Los controladores deben detener el procesamiento dentro de 15 días de recibir la revocación.

Los controladores deben responder a las solicitudes de derechos del consumidor dentro de 45 días, con la posibilidad de una extensión de 45 días cuando sea razonablemente necesario.

Legislación de 2026 Promulgada Más Allá de las Reformas de 2025

La sesión 2026 de la Asamblea General de Connecticut (del 4 de febrero al 6 de mayo de 2026) promulgó la Public Act 26-64 (SB 4), firmada por el gobernador Lamont el 27 de mayo de 2026, la cual va más allá de las reformas de 2025 descritas anteriormente. Sus disposiciones clave, vigentes desde el 1 de octubre de 2026:

• Regulación de tecnología de reconocimiento facial: define la FRT e impone los requisitos de comparación con base de datos y señalización descritos anteriormente (ver "Requisitos de Tecnología de Reconocimiento Facial")
• Restricciones sobre la venta de geolocalización y datos biométricos: prohíbe a los controladores y a terceros vender los datos de geolocalización precisa de los consumidores
• Privacidad de datos genéticos: agrega nuevos requisitos para las empresas de pruebas genéticas directas al consumidor, abordando un vacío que la oficina de la Fiscalía General había señalado para legislación separada

El reporte de cumplimiento de 2025 de la Fiscalía General también recomendó reducir la definición de "información públicamente disponible" para fortalecer la supervisión de los corredores de datos que pueden manejar datos biométricos.

Cómo se Compara Connecticut con Otros Estados

El marco de privacidad biométrica de Connecticut se ubica en un nivel intermedio entre los estados de EE. UU.:

El enfoque de Connecticut de incorporar las protecciones biométricas dentro de una ley integral de privacidad proporciona una cobertura más amplia que los estatutos biométricos independientes, pero la ausencia de un derecho de acción privado limita las opciones de cumplimiento individual en comparación con Illinois.

Más Leyes de Connecticut

• Leyes de grabación de reuniones con IA en Connecticut
• Leyes de pensión alimenticia en Connecticut
• Leyes de empleo a voluntad en Connecticut
• Leyes de accidentes automovilísticos en Connecticut
• Leyes de asientos de seguridad para niños en Connecticut
• Leyes de custodia de menores en Connecticut
• Leyes de manutención infantil en Connecticut
• Leyes de matrimonio de hecho en Connecticut
• Leyes sobre deepfakes en Connecticut
• Leyes de divorcio en Connecticut
• Leyes sobre mordeduras de perro en Connecticut
• Leyes de emancipación en Connecticut
• Leyes de eliminación de antecedentes penales en Connecticut
• Leyes sobre atropello y fuga en Connecticut
• Leyes de propietarios e inquilinos en Connecticut
• Leyes del limón en Connecticut

Descargo de Responsabilidad

Este artículo proporciona información legal general sobre las leyes de privacidad biométrica de Connecticut y no constituye asesoría legal. Las leyes y regulaciones cambian con frecuencia, y su aplicación varía según las circunstancias específicas. Consulte a un abogado calificado con licencia en Connecticut para orientación sobre su situación particular.