Leyes de Privacidad Biométrica de Florida: Recopilación, Consentimiento y Sanciones (2026)

Florida regula los datos biométricos a través de la Carta de Derechos Digitales de Florida (FDBR), que clasifica las huellas dactilares, las huellas de voz y los escaneos de iris como datos personales sensibles bajo Fla. Stat. 501.702(4). La FDBR, vigente desde el 1 de julio de 2024, otorga a los consumidores derechos de exclusión pero limita sus protecciones plenas a las empresas con ingresos anuales globales superiores a $1,000 millones.

Florida no tiene una ley independiente de privacidad biométrica como Illinois (BIPA) o Texas (CUBI). En su lugar, las protecciones de datos biométricos están entrelazadas en la Carta de Derechos Digitales de Florida (FDBR), vigente desde el 1 de julio de 2024, y la Ley de Protección de la Información de Florida (FIPA), que cubre la notificación de violaciones.

La FDBR trata los datos biométricos como un subconjunto de datos personales sensibles y otorga a los consumidores derechos de exclusión específicos. Sin embargo, el estrecho umbral de aplicabilidad de la ley significa que la mayoría de estas protecciones aplican solo contra las empresas de tecnología más grandes que operan en el estado.

Qué Cuenta Como Datos Biométricos Bajo la Ley de Florida

Fla. Stat. 501.702(4) define los datos biométricos como "datos generados por mediciones automáticas de las características biológicas de una persona". El estatuto enumera específicamente:

• Huellas dactilares
• Huellas de voz
• Retinas o iris de los ojos
• Otros patrones o características biológicas únicas usados para identificar a una persona específica

La definición es lo suficientemente amplia como para abarcar tecnologías biométricas más nuevas, como el análisis de la marcha o el reconocimiento de patrones venosos, siempre que los datos se generen mediante medición automática y se usen para identificación.

Qué No Incluyen los Datos Biométricos

El estatuto excluye explícitamente tres categorías:

• Fotografías (incluidas las fotos digitales)
• Grabaciones de video o audio (la grabación en sí, en contraposición a los identificadores biométricos extraídos de las grabaciones)
• Datos recopilados bajo la HIPAA (información de salud regulada por las reglas federales de privacidad de salud)

Esta exclusión significa que la grabación de una cámara de seguridad de alguien caminando por una tienda no constituye datos biométricos. Pero si un software analiza esa grabación para extraer una huella facial o una firma de marcha, el identificador extraído sí queda bajo la definición de datos biométricos.

El Umbral de Controlador de $1,000 Millones

Las protecciones biométricas de la FDBR son poderosas en el papel pero limitadas en la práctica. Bajo Fla. Stat. 501.702(9), una empresa califica como "controlador" sujeto a los requisitos plenos de la FDBR solo si cumple todas estas condiciones:

1. Realiza negocios en Florida o produce productos/servicios consumidos por residentes de Florida
2. Recopila datos personales sobre consumidores
3. Gana más de $1,000 millones en ingresos brutos anuales globales
4. Cumple al menos una condición adicional:
   • Obtiene el 50% o más de los ingresos globales de la venta de publicidad en línea
   • Opera un altavoz inteligente para consumidores con un asistente virtual activado por voz
   • Opera una tienda de aplicaciones o plataforma de distribución digital que ofrezca al menos 250,000 aplicaciones

Este umbral es el más alto de cualquier ley de privacidad estatal en Estados Unidos. En comparación, la Ley de Privacidad del Consumidor de California entra en vigor con $25 millones en ingresos anuales.

En la práctica, solo un puñado de empresas califican: piense en Google, Amazon, Apple y Meta. Un empleador con sede en Florida que usa escáneres de huellas dactilares para el control de horario no está sujeto a los requisitos de exclusión de la FDBR para esos datos, pero no por el tamaño de la empresa. Fla. Stat. 501.702(8) excluye a cualquier persona que actúe "en un contexto comercial o laboral" de la definición de "consumidor", por lo que los datos biométricos de los empleados quedan fuera del marco de derechos del consumidor de la FDBR sin importar los ingresos del empleador.

La Regla más Amplia sobre la Venta de Datos Sensibles

Esta disposición no usa en absoluto el umbral de $1,000 millones. Bajo Fla. Stat. 501.715, cualquier persona que cumpla la prueba más estrecha del Fla. Stat. 501.702(9)(a)1.-3. (organizada con fines de lucro, realiza negocios en Florida, y recopila datos personales sobre consumidores) no puede vender datos personales sensibles, lo que incluye los datos biométricos, sin obtener primero el consentimiento previo del consumidor. Esa prueba de tres partes omite por completo el requisito de $1,000 millones en ingresos y los criterios de gran tecnológica, por lo que vincula prácticamente a cualquier empresa con fines de lucro que opere en Florida y recopile datos de consumidores, y que elija vender datos biométricos u otros datos sensibles, sin importar cuán pequeña sea la empresa. Para menores de 13 años, aplican las reglas federales de la COPPA. Para menores de 13 a 17 años, el controlador debe obtener la autorización afirmativa del menor.

Este requisito de consentimiento para la venta de datos sensibles alcanza a muchas más empresas que el marco central de la FDBR. En cambio, el requisito de aviso de venta biométrica en Fla. Stat. 501.711(3) sigue aplicando únicamente a los controladores completos de $1,000 millones, manteniendo ese deber de aviso en particular dentro de la clase estrecha de controladores.

Derechos del Consumidor para Datos Biométricos

Los consumidores cuyos datos son procesados por controladores calificados tienen varios derechos específicos relacionados con la información biométrica.

Exclusión del Procesamiento de Datos Biométricos

Bajo Fla. Stat. 501.705(2)(f), los consumidores pueden excluirse de la recopilación y el procesamiento de datos sensibles, lo que incluye los datos biométricos.

Exclusión del Reconocimiento de Voz y Facial

Fla. Stat. 501.705(2)(g) crea un derecho separado y específico a excluirse de la recopilación de datos personales mediante "la operación de una función de reconocimiento de voz o reconocimiento facial". Esta disposición apunta a dispositivos inteligentes, aplicaciones y plataformas que usan el reconocimiento facial o de voz para identificar o autenticar a los usuarios.

Sin Vigilancia en Segundo Plano

Fla. Stat. 501.705(3) prohíbe a los controladores usar el reconocimiento de voz, el reconocimiento facial, la grabación de video, la grabación de audio u otras funciones de detección similares "cuando dichas funciones no estén en uso activo por el consumidor", a menos que el consumidor lo haya autorizado expresamente. Esto apunta a micrófonos y cámaras siempre activos en dispositivos de hogar inteligente y productos similares.

Opt-In vs. Opt-Out: Cómo se Compara Florida

Florida usa un modelo de exclusión (opt-out) para la mayoría del procesamiento de datos biométricos. Los controladores cubiertos pueden recopilar y procesar datos biométricos de manera predeterminada, y los consumidores deben tomar una acción afirmativa para detenerlo.

Esto difiere significativamente de la Ley de Privacidad de la Información Biométrica de Illinois (BIPA), que exige consentimiento por escrito de inclusión previa (opt-in) antes de cualquier recopilación de identificadores biométricos. Bajo la BIPA, la recopilación sin consentimiento previo es una infracción desde el inicio. Bajo la FDBR, la recopilación sin consentimiento generalmente es permisible hasta que un consumidor ejerza su derecho de exclusión.

La única excepción es la venta de datos biométricos. Vender datos biométricos requiere consentimiento previo bajo Fla. Stat. 501.715, lo que hace que esa actividad específica sea de inclusión previa (opt-in).

Requisitos de Aviso para Datos Biométricos

Los controladores que venden datos personales biométricos deben mostrar un aviso específico bajo Fla. Stat. 501.711(3):

"AVISO: Este sitio web puede vender sus datos personales biométricos."

Este aviso debe aparecer en el mismo lugar que el aviso de privacidad general de la empresa. Los controladores también deben divulgar:

• Las categorías de datos personales procesados, incluyendo si están involucrados datos sensibles
• Cómo pueden los consumidores ejercer sus derechos de exclusión
• Categorías de terceros que reciben datos personales
• Los propósitos del procesamiento

Los avisos de privacidad deben actualizarse al menos anualmente.

Evaluaciones de Protección de Datos

Bajo Fla. Stat. 501.713, los controladores deben realizar evaluaciones de protección de datos para actividades que presenten un "riesgo elevado de daño a los consumidores". El procesamiento de datos sensibles, incluidos los datos biométricos, activa este requisito.

Cada evaluación debe sopesar los beneficios de la actividad de procesamiento frente a los riesgos potenciales para los derechos del consumidor, considerando factores como:

• Si los datos han sido desidentificados
• Las expectativas del consumidor con respecto al procesamiento
• El contexto y la relación entre el controlador y el consumidor
• Las salvaguardas disponibles para reducir el riesgo

Estas evaluaciones no deben presentarse ante el estado, pero si el Fiscal General solicita una bajo su facultad de investigación conforme al Fla. Stat. 501.72, entregarla no constituye una renuncia al privilegio abogado-cliente ni a la protección del producto del trabajo sobre su contenido.

Datos Biométricos y Notificación de Violaciones

Separadamente de la FDBR, la Ley de Protección de la Información de Florida (Fla. Stat. 501.171) incluye los datos biométricos en su definición de información personal sujeta a los requisitos de notificación de violaciones.

Si una violación expone los datos biométricos de una persona (según se define en Fla. Stat. 501.702) junto con su nombre de pila o inicial y apellido, la entidad debe:

• Notificar a las personas afectadas dentro de los 30 días de descubrir la violación, con una posible extensión de 15 días si la entidad demuestra causa justificada por escrito ante el Departamento de Asuntos Legales dentro de la ventana original de 30 días
• Notificar al Departamento de Asuntos Legales de Florida dentro de 30 días, pero solo si la violación afecta a 500 o más personas en Florida; el estatuto no prevé una extensión para este plazo en particular
• Notificar a las agencias de informes de crédito si la violación afecta a más de 1,000 personas a la vez

Las reglas de notificación de violaciones de la FIPA aplican a todas las entidades cubiertas en Florida, no solo a las empresas de $1,000 millones. Cualquier empresa o entidad gubernamental que mantenga, almacene o use datos biométricos de residentes de Florida debe notificar a las personas afectadas después de una violación. La notificación al Departamento de Asuntos Legales solo se exige cuando una violación afecta a 500 o más personas en Florida; las violaciones más pequeñas todavía activan el deber de notificar a las personas, pero no el deber de notificar al Departamento.

Las sanciones por no cumplir con los plazos de notificación bajo la FIPA llegan hasta $500,000 por violación: $1,000 por día durante los primeros 30 días, luego $50,000 por cada período subsiguiente de 30 días, hasta 180 días.

Aplicación: Solo el Fiscal General

La FDBR es aplicada exclusivamente por el Departamento de Asuntos Legales de Florida (la oficina del Fiscal General) bajo Fla. Stat. 501.72.

No existe un derecho de acción privada. Los consumidores individuales no pueden demandar a las empresas por infracciones de datos biométricos bajo la ley de Florida. Este es uno de los contrastes más marcados con la BIPA de Illinois, donde las demandas privadas (incluyendo las acciones colectivas) han producido cientos de millones de dólares en acuerdos.

Estructura de Sanciones

Período de Subsanación

Los controladores reciben un período de subsanación de 45 días después del aviso por escrito de la oficina del Fiscal General. Si la infracción se subsana dentro de esa ventana, el departamento puede optar por no iniciar una acción. La única excepción: las infracciones que involucran datos de menores no tienen período de subsanación.

Actividad de Aplicación Hasta la Fecha

La oficina del Fiscal General de Florida emitió su primer informe anual de aplicación cubriendo enero a diciembre de 2025. Durante ese período, el departamento recibió 1,496 quejas de consumidores, colocó 811 bajo revisión activa, emitió 186 Avisos de Presunta Infracción a los controladores, e inició 60 investigaciones para determinar si las entidades caían dentro del alcance de la FDBR.

La primera acción de aplicación importante llegó en octubre de 2025, cuando el Fiscal General presentó una demanda contra Roku, Inc. por presuntas infracciones relacionadas con los datos de menores, incluyendo geolocalización y grabaciones de voz. Florida buscó sanciones civiles de hasta $150,000 por infracción.

Uso de Datos Biométricos por el Empleador

Florida no tiene una ley de privacidad biométrica separada específica para empleadores. Las empresas que usan escáneres de huellas dactilares para el control de horario, reconocimiento facial para el acceso a edificios, u otras herramientas biométricas en el lugar de trabajo generalmente no están sujetas a los requisitos biométricos orientados al consumidor de la FDBR en lo que respecta a sus propios empleados. Se trata de una exclusión definicional, no una exclusión por tamaño: Fla. Stat. 501.702(8) define "consumidor" como una persona que actúa únicamente en un contexto individual o doméstico y excluye expresamente a cualquiera que actúe "en un contexto comercial o laboral". Debido a que los datos biométricos de los empleados quedan fuera de la definición de consumidor de la FDBR, los empleadores no tienen obligaciones de exclusión bajo la FDBR hacia su propia fuerza laboral, sin importar los ingresos o el tamaño del empleador.

Sin embargo, los empleadores deben tener en cuenta dos consideraciones:

La notificación de violaciones sigue aplicando. Si un empleador almacena las huellas dactilares u otros datos biométricos de los empleados y sufre una violación de datos, los requisitos de notificación de la FIPA aplican independientemente del tamaño de la empresa. No notificar dentro de 30 días expone al empleador a sanciones.

Sin riesgo de demandas al estilo BIPA. A diferencia de Illinois, donde los empleados han presentado miles de demandas colectivas por la recopilación de datos biométricos en el lugar de trabajo, la falta de un derecho de acción privada en Florida significa que los empleados no pueden presentar reclamos similares. La aplicación se realiza únicamente a través de la oficina del Fiscal General.

Legislación Pendiente: Sesión 2025-2026

La Legislatura de Florida no ha avanzado una ley independiente de privacidad biométrica en sesiones recientes. Una propuesta de 2019, la Ley de Privacidad de la Información Biométrica de Florida (SB 1270), modelada en la BIPA de Illinois, no se aprobó. No se ha presentado un proyecto de ley comparable en las sesiones legislativas de 2025 o 2026.

La sesión de 2026 sí vio el SB 482, una Carta de Derechos de Inteligencia Artificial, que fue aprobada por el Senado con 35-2 votos pero murió en la Cámara. Ese proyecto de ley abordaba la gobernanza de la IA y el consentimiento de chatbots, pero no enmendó las disposiciones biométricas de la FDBR.

A partir de agosto de 2026, no hay legislación pendiente que reduciría el umbral de $1,000 millones de la FDBR, crearía un derecho de acción privada para infracciones de datos biométricos, o establecería un estatuto independiente de privacidad biométrica en Florida.

Cómo se Compara Florida con Otros Estados

Esta comparación importa para las empresas que operan en varios estados. Una empresa que recopila huellas dactilares tanto en Florida como en Illinois enfrenta cargas de cumplimiento y riesgos de litigio muy diferentes en cada jurisdicción.

Más Leyes de Florida

• Leyes de Grabación de Reuniones con IA de Florida
• Leyes de Pensión Alimenticia de Florida
• Leyes de Empleo a Voluntad de Florida
• Leyes de Accidentes de Auto de Florida
• Leyes de Asientos de Auto para Niños de Florida
• Leyes de Custodia de Menores de Florida
• Leyes de Manutención de Menores de Florida
• Leyes de Matrimonio de Hecho de Florida
• Leyes de Deepfakes de Florida
• Leyes de Divorcio de Florida
• Leyes sobre Mordeduras de Perro de Florida
• Leyes de Emancipación de Florida
• Leyes de Eliminación de Antecedentes de Florida
• Leyes de Choque y Fuga de Florida
• Leyes de Propietario e Inquilino de Florida
• Leyes del Limón de Florida

Este artículo ofrece información legal general sobre las leyes de privacidad biométrica de Florida y no constituye asesoría legal. Las leyes y las prácticas de aplicación cambian con el tiempo. Consulte a un abogado para obtener asesoría específica a su situación.