Leyes de Privacidad Biométrica de Connecticut: Recopilación, Consentimiento y Sanciones (2026)

Connecticut regula los datos biométricos bajo la Ley de Privacidad de Datos de Connecticut (CTDPA, Conn. Gen. Stat. 42-515 y siguientes), que clasifica los identificadores biométricos como huellas dactilares y huellas de voz como datos sensibles. Las empresas deben obtener consentimiento de inclusión voluntaria antes de recopilar datos biométricos de consumidores de Connecticut, aunque los datos de empleados, solicitantes de empleo y contratistas están exentos. Connecticut no tiene un estatuto biométrico independiente como la BIPA de Illinois.

Connecticut ofrece algunas de las protecciones de privacidad biométrica más sólidas del noreste de Estados Unidos. En lugar de promulgar una ley biométrica independiente como hizo Illinois con la BIPA, Connecticut incorporó las protecciones de datos biométricos en su Ley de Privacidad de Datos de Connecticut (CTDPA), integral, firmada como PA 22-15 el 10 de mayo de 2022, y vigente desde el 1 de julio de 2023.

La CTDPA trata los datos biométricos como datos sensibles, lo que activa un estándar de protección más alto que los datos personales ordinarios. Cualquier empresa que recopile huellas dactilares, escaneos faciales, huellas de voz o identificadores similares de residentes de Connecticut debe obtener primero un consentimiento afirmativo.

Para un contexto más amplio sobre el marco general de privacidad de Connecticut, consulte la guía principal sobre las Leyes de Privacidad de Datos de Connecticut.

Cómo Define la CTDPA los Datos Biométricos

Bajo Conn. Gen. Stat. 42-515(4), "datos biométricos" significa datos generados por mediciones automáticas de las características biológicas de una persona. El estatuto enumera ejemplos específicos:

• Huellas dactilares recopiladas a través de escáneres o dispositivos táctiles
• Huellas de voz capturadas a través de sistemas de reconocimiento de voz
• Retinas e iris del ojo escaneados con fines de identificación
• Otros patrones o características biológicas únicos usados para identificar a una persona específica

La definición incluye una excepción importante. Las fotografías, grabaciones de audio y grabaciones de video no califican como datos biométricos a menos que se procesen específicamente para generar una plantilla de identificador biométrico. Una cámara de seguridad que graba un vestíbulo, por ejemplo, no es un dato biométrico. Pero pasar esas imágenes por un software de reconocimiento facial para extraer mediciones de geometría facial crearía datos biométricos sujetos a la CTDPA.

Definición Ampliada de 2025

Las reformas de 2025 a la CTDPA ampliaron lo que califica como información biométrica protegida de dos maneras significativas. Primero, la ley ahora cubre la "información derivada" de los datos biométricos, no solo los datos biométricos crudos en sí. Segundo, la legislatura agregó los "datos neuronales" como una nueva categoría de datos sensibles, convirtiendo a Connecticut en uno de los primeros estados junto con California y Colorado en proteger los datos de interfaces cerebro-computadora.

Las reformas también eliminaron el requisito de que los datos biométricos debían ser "procesados con el propósito de identificar de manera única a una persona" para calificar como datos sensibles. Bajo la ley actualizada, los datos biométricos son sensibles independientemente de si el controlador los está usando activamente para identificación.

Quién Debe Cumplir

La CTDPA aplica a cualquier persona que haga negocios en Connecticut o produzca productos o servicios dirigidos a residentes de Connecticut y que, durante el año calendario anterior, haya cumplido con uno de estos umbrales (vigentes desde el 1 de julio de 2026, bajo la PA 25-113):

• Controló o procesó los datos personales de al menos 35,000 consumidores (excluyendo los datos procesados únicamente para transacciones de pago),
• Controló o procesó cualquier cantidad de datos sensibles de los consumidores (lo cual incluye datos biométricos), excluyendo los datos sensibles procesados únicamente para transacciones de pago, u
• Ofreció los datos personales de los consumidores para su venta en el comercio

Estos umbrales reemplazan la prueba original de la CTDPA de 100,000 consumidores / 25,000 consumidores más el 25% de los ingresos. Debido a que el disparador de datos sensibles no tiene un piso numérico, cualquier entidad que controle o procese cualquier cantidad de datos sensibles de residentes de Connecticut (lo cual incluye datos biométricos) debe cumplir con la CTDPA sin importar su tamaño, con la misma excepción para transacciones de pago.

Esto significa que incluso las pequeñas empresas que recopilan huellas dactilares para relojes de asistencia de empleados o usan reconocimiento facial para el acceso a edificios ahora caen bajo la CTDPA si manejan datos biométricos de residentes de Connecticut.

Exenciones

La CTDPA exime a ciertas entidades y tipos de datos de la cobertura:

• Agencias gubernamentales y entidades que actúan en nombre del gobierno estatal o local
• Organizaciones sin fines de lucro
• Instituciones de educación superior
• Datos protegidos bajo HIPAA, GLBA (Ley Gramm-Leach-Bliley) y ciertos otros marcos federales
• Datos de empleados, solicitantes de empleo, contratistas y contactos comerciales. Conn. Gen. Stat. 42-517(b)(15)(A) exime los datos procesados en el curso de que una persona solicite empleo, sea empleada, o actúe como agente o contratista independiente de un controlador, y Conn. Gen. Stat. 42-515(8) excluye a las personas que actúan en un contexto comercial o laboral de la definición de "consumidor". La PA 25-113 volvió a promulgar la exención laboral sin reducirla.

Requisitos de Consentimiento para Datos Biométricos

Debido a que los datos biométricos califican como datos sensibles, los controladores deben obtener el consentimiento de inclusión voluntaria del consumidor antes de procesarlos. Este es un estándar más alto que el de los datos personales ordinarios, donde los controladores solo necesitan proporcionar aviso y respetar las solicitudes de exclusión voluntaria.

El consentimiento debe ser:

• Otorgado libremente por el consumidor sin coerción
• Informado, lo que significa que el consumidor entiende qué datos biométricos se están recopilando y cómo se usarán
• Específico para la actividad de procesamiento biométrico
• Inequívoco, demostrado a través de una acción afirmativa clara

Los controladores no pueden ocultar el consentimiento dentro de un acuerdo general de términos de servicio. La CTDPA exige que el consentimiento para el procesamiento de datos sensibles sea separado y distinto de otros permisos.

Requisitos de Tecnología de Reconocimiento Facial

Las reglas específicas de reconocimiento facial de Connecticut no provienen de las reformas de 2025. Provienen de una ley separada, la Public Act 26-64 (SB 4), firmada por el gobernador Lamont el 27 de mayo de 2026. Estas disposiciones entraron en vigor el 1 de octubre de 2026. Conforme a ellas, un controlador que use tecnología de reconocimiento facial en sus instalaciones con fines de seguridad o prevención de pérdidas (para prevenir, detectar o responder a incidentes de seguridad, fraude o actividad ilegal similar) deberá:

• Comparar únicamente contra su propia base de datos: la tecnología solo puede comparar imágenes o video con una base de datos que el propio controlador mantenga, no con conjuntos de datos de terceros o públicos
• Colocar señalización en las entradas: la señalización en cada entrada de las instalaciones (salvo una entrada a un área de acceso restringido a empleados autorizados) debe alertar a los consumidores de que se está usando tecnología de reconocimiento facial e incluir un hipervínculo o código QR a la política de tecnología de reconocimiento facial del controlador, la cual debe indicar la información de contacto de la Fiscalía General

La PA 26-64 no exige aviso al consumidor, consentimiento, un mecanismo de revocación, ni capacitación del personal sobre sesgo y discriminación para el uso de reconocimiento facial; ninguna de esas obligaciones aparece en el texto promulgado. Por separado, la oficina de la Fiscalía General de Connecticut ha recibido quejas sobre supermercados que usan software biométrico para la detección de hurtos y declaró, en un reporte anterior de cumplimiento de la CTDPA, que "las empresas que despliegan FRT deben cumplir con la CTDPA" sin excepción general para la prevención de pérdidas.

Evaluaciones de Protección de Datos

Los controladores que procesan datos biométricos deben realizar evaluaciones de protección de datos (DPA) antes de comenzar ese procesamiento. Bajo Conn. Gen. Stat. 42-522, se requiere una DPA para cualquier procesamiento que presente un "riesgo elevado de daño a un consumidor", lo cual incluye explícitamente el procesamiento de datos sensibles.

Cada evaluación debe sopesar los beneficios del procesamiento contra los riesgos potenciales para los consumidores, considerando:

• El uso de datos desidentificados cuando sea posible
• Las expectativas razonables de los consumidores
• La relación entre el procesamiento y el propósito declarado
• Cualquier salvaguarda que el controlador haya implementado

Para los datos biométricos usados en perfilamiento que produce efectos legales o similarmente significativos, las reformas de 2025 exigen que los controladores documenten las entradas y salidas de datos, las métricas de rendimiento, y las salvaguardas específicas contra el sesgo y la discriminación.

Las DPA deben ponerse a disposición de la Fiscalía General a solicitud.

Cumplimiento y Sanciones

La Fiscalía General de Connecticut tiene autoridad exclusiva de cumplimiento sobre la CTDPA. No existe un derecho de acción privado, lo que significa que las personas no pueden presentar demandas contra las empresas por infracciones de privacidad biométrica.

Cronología de Cumplimiento

El marco de cumplimiento de la CTDPA ha evolucionado desde que la ley entró en vigor:

• Del 1 de julio de 2023 al 31 de diciembre de 2024: La Fiscalía General debía dar a las empresas un periodo de subsanación de 60 días antes de iniciar una acción de cumplimiento
• Desde el 1 de enero de 2025: El periodo de subsanación expiró. La Fiscalía General ahora puede iniciar el cumplimiento inmediato de las infracciones sin ofrecer primero la oportunidad de corregirlas

Sanciones

Las infracciones de la CTDPA se tratan como prácticas comerciales injustas bajo la Ley de Prácticas Comerciales Justas de Connecticut (CUTPA, Conn. Gen. Stat. 42-110a y siguientes). Las sanciones incluyen:

• Sanciones civiles de hasta $5,000 por infracción deliberada
• Medidas cautelares para detener infracciones en curso
• Restitución a los consumidores afectados
• Desembolso de las ganancias obtenidas a través de infracciones

Actividad de Cumplimiento en 2025

El Fiscal General William Tong publicó un reporte de cumplimiento de 2025 que documenta el primer año completo de cumplimiento activo de la CTDPA por parte de la oficina. Los hallazgos clave incluyen:

• La oficina emitió 63 cartas de advertencia y docenas de avisos de infracciones
• Se finalizaron múltiples acuerdos por violaciones de datos, incluyendo un acuerdo de $200,000 con PharMerica (que afectó a 105,000 residentes de Connecticut) y un acuerdo de $200,000 con WebTPA Employer Services
• TicketNetwork pagó $85,000 por infracciones al aviso de privacidad, incluyendo avisos difíciles de leer y mecanismos de derechos inoperables
• Se abrieron investigaciones activas sobre vehículos conectados, plataformas de redes sociales, plataformas de videojuegos, chatbots de IA y corredores de datos

Aunque la oficina de la Fiscalía General todavía no ha anunciado una acción de cumplimiento específica sobre biometría, la oficina ha dejado claro que el cumplimiento de datos biométricos es un área de enfoque, particularmente en torno al despliegue de tecnología de reconocimiento facial.

Datos Biométricos y Notificación de Violación

El estatuto separado de notificación de violación de datos de Connecticut (Conn. Gen. Stat. 36a-701b) proporciona una capa adicional de protección para los datos biométricos.

Cualquier persona que sea propietaria, tenga licencia sobre, o mantenga datos computarizados que contengan información personal debe notificar a la Fiscalía General y a los residentes afectados de Connecticut dentro de 60 días de descubrir una violación. La ley de Connecticut incluye los datos biométricos dentro de su definición de información personal que activa los requisitos de notificación de violación.

Si una violación involucra datos biométricos, la entidad afectada debe:

• Notificar a la Fiscalía General a más tardar cuando se notifica a los residentes
• Notificar a los residentes afectados sin demora injustificada y dentro de 60 días
• Describir las categorías de información involucradas en la violación
• Proporcionar información de contacto de la entidad y las agencias gubernamentales relevantes

El incumplimiento de los requisitos de notificación de violación constituye una infracción de la CUTPA, con el mismo marco de sanciones que las infracciones de la CTDPA.

Obligaciones del Empleador para Datos Biométricos

Los empleadores de Connecticut que operan relojes de asistencia por huella dactilar, reconocimiento facial para el acceso a edificios, o lectores de geometría de mano o palma sobre su propia fuerza laboral quedan fuera de la CTDPA. El estatuto protege a los "consumidores", y Conn. Gen. Stat. 42-515(8) define a un consumidor como un residente de Connecticut excluyendo expresamente a "una persona que actúa en un contexto comercial o laboral o como empleado, propietario, director, funcionario o contratista de una empresa" cuyas relaciones con el controlador ocurran únicamente dentro de ese rol. Conn. Gen. Stat. 42-517(b)(15)(A) agrega una exención separada para los datos procesados o mantenidos "en el curso de que una persona solicite empleo, sea empleada, o actúe como agente o contratista independiente de un controlador", en la medida en que los datos se recopilen y usen dentro del contexto de ese rol.

Ambas disposiciones sobrevivieron a las reformas de 2025. La PA 25-113 derogó y volvió a promulgar la sección 42-517(a) y (b) con vigencia desde el 1 de julio de 2026 y reprodujo la exención laboral palabra por palabra, y la Public Act 26-64 reimprime la misma exclusión de "consumidor". Ninguna de las dos leyes agregó una excepción de datos sensibles a ninguna de las dos disposiciones.

La consecuencia práctica es que el requisito de consentimiento de inclusión voluntaria de la CTDPA para datos biométricos no alcanza a un empleador que recopila huellas dactilares o escaneos faciales de sus propios empleados, solicitantes o contratistas, y Connecticut no tiene un estatuto biométrico independiente como la BIPA de Illinois que llene ese vacío. Por eso el litigio biométrico laboral se concentra en Illinois y no en Connecticut.

Requisitos que aún pueden aplicar a un empleador de Connecticut:

• Aviso de monitoreo electrónico. Conn. Gen. Stat. 31-48d exige que todo empleador que realice monitoreo electrónico dé aviso previo por escrito de los tipos de monitoreo que puede llevar a cabo, lo cual se satisface con una publicación visible. El monitoreo electrónico se define como la recopilación de información en las instalaciones del empleador sobre las actividades o comunicaciones de los empleados por cualquier medio distinto de la observación directa, por lo que un sistema biométrico que registra cuándo y dónde los empleados marcan su ingreso puede quedar comprendido en él. El Comisionado Laboral aplica esta sección, con sanciones civiles de $500 por una primera infracción, $1,000 por una segunda, y $3,000 por la tercera y cada infracción subsiguiente. No existe un derecho de acción privado.
• La propia CTDPA, cuando la misma tecnología se dirige a personas que no son empleados. Los clientes, visitantes y miembros del público son consumidores, por lo que escanear sus rostros o huellas dactilares activa las reglas completas de consentimiento para datos sensibles descritas anteriormente.
• Obligaciones contractuales y de negociación colectiva, que se rigen por otras leyes y quedan fuera del alcance de esta página.

Derechos del Consumidor Sobre los Datos Biométricos

Los residentes de Connecticut tienen varios derechos con respecto a sus datos biométricos bajo la CTDPA:

• Derecho a saber: Los consumidores pueden confirmar si un controlador está procesando sus datos biométricos y acceder a esos datos. Sin embargo, bajo las reformas de 2025, los controladores no pueden divulgar directamente los datos biométricos en si en respuesta a las solicitudes de acceso. En cambio, deben informar a los consumidores "con suficiente particularidad" sobre qué información biométrica se recopiló.
• Derecho de corrección: Los consumidores pueden solicitar la corrección de datos biométricos inexactos.
• Derecho de eliminación: Los consumidores pueden solicitar la eliminación de sus datos biométricos.
• Derecho a la portabilidad de datos: Los consumidores pueden obtener una copia de sus datos en un formato portátil.
• Derecho de exclusión voluntaria: Los consumidores pueden excluirse de la venta de datos biométricos, la publicidad dirigida basada en datos biométricos, y el perfilamiento que usa datos biométricos.
• Derecho a revocar el consentimiento: Los consumidores pueden retirar el consentimiento previamente otorgado para el procesamiento de datos biométricos. Los controladores deben detener el procesamiento dentro de 15 días de recibir la revocación.

Los controladores deben responder a las solicitudes de derechos del consumidor dentro de 45 días, con la posibilidad de una extensión de 45 días cuando sea razonablemente necesario.

Legislación de 2026 Promulgada Más Allá de las Reformas de 2025

La sesión 2026 de la Asamblea General de Connecticut (del 4 de febrero al 6 de mayo de 2026) promulgó la Public Act 26-64 (SB 4), firmada por el gobernador Lamont el 27 de mayo de 2026, la cual va más allá de las reformas de 2025 descritas anteriormente. Sus disposiciones clave, vigentes desde el 1 de octubre de 2026:

• Regulación de tecnología de reconocimiento facial: define la FRT e impone los requisitos de comparación con base de datos y señalización descritos anteriormente (ver "Requisitos de Tecnología de Reconocimiento Facial")
• Restricciones sobre la venta de geolocalización y datos biométricos: prohíbe a los controladores y a terceros vender los datos de geolocalización precisa de los consumidores
• Privacidad de datos genéticos: agrega nuevos requisitos para las empresas de pruebas genéticas directas al consumidor, abordando un vacío que la oficina de la Fiscalía General había señalado para legislación separada

El reporte de cumplimiento de 2025 de la Fiscalía General también recomendó reducir la definición de "información públicamente disponible" para fortalecer la supervisión de los corredores de datos que pueden manejar datos biométricos.

Cómo se Compara Connecticut con Otros Estados

El marco de privacidad biométrica de Connecticut se ubica en un nivel intermedio entre los estados de EE. UU.:

El enfoque de Connecticut de incorporar las protecciones biométricas dentro de una ley integral de privacidad alcanza una amplia variedad de procesamiento dirigido a consumidores, pero deja los datos biométricos de los empleados completamente fuera de la ley. Esa disyuntiva, sumada a la ausencia de un derecho de acción privado, hace que las opciones de cumplimiento sean más limitadas que en Illinois.

Más Leyes de Connecticut

• Leyes de grabación de reuniones con IA en Connecticut
• Leyes de pensión alimenticia en Connecticut
• Leyes de empleo a voluntad en Connecticut
• Leyes de accidentes automovilísticos en Connecticut
• Leyes de asientos de seguridad para niños en Connecticut
• Leyes de custodia de menores en Connecticut
• Leyes de manutención infantil en Connecticut
• Leyes de matrimonio de hecho en Connecticut
• Leyes sobre deepfakes en Connecticut
• Leyes de divorcio en Connecticut
• Leyes sobre mordeduras de perro en Connecticut
• Leyes de emancipación en Connecticut
• Leyes de eliminación de antecedentes penales en Connecticut
• Leyes sobre atropello y fuga en Connecticut
• Leyes de propietarios e inquilinos en Connecticut
• Leyes del limón en Connecticut

Descargo de Responsabilidad

Este artículo proporciona información legal general sobre las leyes de privacidad biométrica de Connecticut y no constituye asesoría legal. Las leyes y regulaciones cambian con frecuencia, y su aplicación varía según las circunstancias específicas. Consulte a un abogado calificado con licencia en Connecticut para orientación sobre su situación particular.

Preguntas frecuentes

¿Tiene Connecticut una ley de privacidad biométrica independiente como la BIPA de Illinois?

No. Connecticut protege los datos biométricos a través de su Ley de Privacidad de Datos de Connecticut integral (CTDPA, Conn. Gen. Stat. 42-515 y siguientes) en lugar de un estatuto biométrico independiente. La CTDPA clasifica los datos biométricos como datos sensibles, lo que activa requisitos de consentimiento de inclusión voluntaria y otras protecciones elevadas. Este enfoque proporciona una cobertura amplia pero no incluye un derecho de acción privado como la BIPA de Illinois.

¿Qué datos biométricos protege la CTDPA?

La CTDPA protege huellas dactilares, huellas de voz, escaneos de retina, escaneos de iris y otros patrones o características biológicas únicos generados por mediciones automáticas y usados para identificar a una persona especifica. A partir de 2025, la ley también cubre la información derivada de datos biométricos y los datos neuronales. Las fotografías y grabaciones de audio/video están excluidas a menos que se procesen para extraer identificadores biométricos.

¿Puedo demandar a una empresa en Connecticut por el mal uso de mis datos biométricos?

No. La CTDPA no incluye un derecho de acción privado. Solo la Fiscalía General de Connecticut puede hacer cumplir la ley. Si cree que una empresa ha violado sus derechos de privacidad biométrica, puede presentar una queja ante la oficina de la Fiscalía General en portal.ct.gov/ag. La Fiscalía General puede buscar sanciones civiles de hasta $5,000 por infracción deliberada y solicitar medidas cautelares, restitución y desembolso de ganancias.

¿Necesitan los empleadores de Connecticut consentimiento para usar relojes de huella dactilar?

No, no bajo la CTDPA. La ley protege a los consumidores, y Conn. Gen. Stat. 42-515(8) excluye a las personas que actúan en un contexto laboral de esa definición, mientras que Conn. Gen. Stat. 42-517(b)(15)(A) exime por separado los datos procesados en el curso de que una persona solicite empleo, sea empleada, o actúe como contratista de un controlador. Por lo tanto, un empleador que opera un reloj de asistencia por huella dactilar sobre su propia fuerza laboral queda fuera de la CTDPA, y Connecticut no tiene una ley biométrica independiente como la BIPA de Illinois que imponga un deber de consentimiento. Conn. Gen. Stat. 31-48d puede seguir exigiendo aviso previo por escrito de monitoreo electrónico, y la CTDPA si aplica si el mismo sistema recopila datos biométricos de clientes o visitantes.

¿Qué sucede si una empresa sufre una violación de datos que involucra datos biométricos en Connecticut?

La ley de notificación de violación de Connecticut (Conn. Gen. Stat. 36a-701b) exige que la entidad notifique tanto a la Fiscalía General como a los residentes afectados dentro de 60 días de descubrir la violación. La notificación debe describir las categorías de información involucradas y proporcionar datos de contacto. El incumplimiento es una infracción de la Ley de Prácticas Comerciales Justas de Connecticut, que conlleva sanciones civiles. En 2025, la Fiscalía General finalizó múltiples acuerdos por violaciones de datos, incluyendo una sanción de $200,000 contra PharMerica por una violación que afectó a más de 100,000 residentes de Connecticut.