Leyes de Privacidad Biométrica de Georgia: Recopilación, Consentimiento y Sanciones (2026)

Georgia no cuenta con una ley específica sobre privacidad biométrica ni con una ley integral de privacidad del consumidor. Un proyecto de ley de la sesión 2025-2026, el SB 111 (la Ley de Protección de la Privacidad del Consumidor de Georgia), habría clasificado los datos biométricos procesados con el fin de identificar de manera única a una persona como datos sensibles y habría exigido que las empresas cubiertas obtuvieran consentimiento antes de procesarlos, pero un comité de la Cámara eliminó las disposiciones de privacidad y reemplazó el proyecto de ley por una medida no relacionada de crédito fiscal para hospitales rurales antes de su aprobación final. El gobernador Kemp firmó esa versión sustitutiva como Ley 462 el 11 de mayo de 2026; los requisitos de privacidad nunca entraron en vigor. La Ley de Protección de la Identidad Personal (O.C.G.A. 10-1-910 y siguientes) exige, por separado, la notificación de violaciones de datos, pero excluye los datos biométricos de su definición de información personal, dejando las violaciones que involucren únicamente datos biométricos sin un requisito de notificación a nivel estatal.

Georgia es uno de la mayoría de los estados de EE. UU. que no ha promulgado una ley dedicada a la privacidad biométrica. Los residentes que usan escáneres de huellas dactilares en el trabajo, se someten al reconocimiento facial en lugares públicos, o proporcionan datos biométricos a aplicaciones y dispositivos tienen protecciones legales limitadas a nivel estatal que rijan cómo esos datos se recopilan, almacenan, comparten o destruyen.

Esta guía explica qué cubre y qué no cubre actualmente la ley de Georgia en materia de información biométrica, qué sucedió con la Ley de Protección de la Privacidad del Consumidor de Georgia (SB 111) y por qué nunca entró en vigor, y qué protecciones federales llenan los vacíos restantes.

Para un contexto más amplio sobre el marco general de privacidad de Georgia, consulte la guía principal de Leyes de Privacidad de Datos de Georgia.

Qué cuenta como datos biométricos

Los datos biométricos incluyen características físicas o de comportamiento únicas utilizadas para identificar a una persona. Los ejemplos comunes incluyen las huellas dactilares, la geometría facial (utilizada en el reconocimiento facial), los escaneos de iris y retina, las huellas de voz, las huellas palmares y el análisis de la marcha.

Los estados con leyes dedicadas a la privacidad biométrica, como Illinois (BIPA) y Texas (CUBI), definen estos identificadores en su estatuto y regulan cómo las entidades los manejan. Georgia no ha dado este paso.

El marco legal actual de Georgia

Ley de Protección de la Identidad Personal (O.C.G.A. 10-1-910 y siguientes)

La principal ley de protección de datos de Georgia es la Ley de Protección de la Identidad Personal, promulgada en 2005 y modificada en 2007. Esta ley exige que los "corredores de información" (empresas que venden datos personales a terceros) y los recolectores de datos gubernamentales notifiquen a los residentes de Georgia cuando una violación comprometa información personal.

Sin embargo, el estatuto define "información personal" bajo el O.C.G.A. 10-1-911 como el nombre de una persona combinado con uno o más de los siguientes elementos:

• Número de Seguro Social
• Número de licencia de conducir o de identificación estatal
• Números de cuenta financiera, tarjeta de crédito o débito (con códigos de acceso)
• Contraseñas o PIN de cuentas

Los datos biométricos, como las huellas dactilares, los escaneos faciales y las huellas de voz, no están incluidos en esta definición. Una violación que involucre únicamente registros biométricos no activaría las obligaciones de notificación bajo la ley actual de Georgia.

Ley de Prácticas Comerciales Justas (O.C.G.A. 10-1-390 y siguientes)

La Ley de Prácticas Comerciales Justas de Georgia prohíbe las prácticas comerciales injustas y engañosas. Aunque el estatuto no menciona específicamente los datos biométricos, una empresa que hiciera promesas falsas sobre cómo maneja la información biométrica podría, en teoría, enfrentar una acción de cumplimiento bajo esta ley.

El Fiscal General de Georgia hace cumplir la Ley de Prácticas Comerciales Justas. No existe un derecho de acción privado que permita a los consumidores individuales demandar por el uso indebido de datos biométricos bajo este solo estatuto.

Ley de Eliminación de Registros (O.C.G.A. 10-15-1 y siguientes)

Un estatuto de Georgia sí nombra directamente los identificadores biométricos. La ley estatal sobre la eliminación de registros comerciales define "identificable personalmente" en el O.C.G.A. 10-15-1(10)(A) como datos capaces de asociarse con un cliente en particular a través de identificadores "que incluyen, entre otros, la huella dactilar, la fotografía o la imagen computarizada de un cliente", enumerados junto con los números de Seguro Social, los números de pasaporte y las fechas de nacimiento.

El O.C.G.A. 10-15-2 prohíbe entonces que una empresa deseche un registro de cliente que contenga información personal, a menos que triture el registro, borre la información, la haga ilegible, o tome otras medidas que razonablemente considere que impedirán que personas no autorizadas accedan a los datos antes de que el registro sea destruido.

Tres límites impiden que esto funcione como una ley de privacidad biométrica:

• Es únicamente un deber de destrucción. Nada en el capítulo exige consentimiento, aviso, un cronograma de retención, o algún límite sobre la recopilación, el uso o el intercambio de datos biométricos.
• Alcanza a los registros de clientes. El O.C.G.A. 10-15-1(4) define a un cliente como una persona que proporciona información personal para comprar o arrendar un producto u obtener un servicio, por lo que las huellas dactilares y los escaneos faciales de los empleados quedan completamente fuera de su alcance.
• El contenido del registro debe encajar en una de cuatro categorías enumeradas en el O.C.G.A. 10-15-1(9): la condición médica de un cliente; números de cuenta o de identificación y saldos; datos proporcionados al abrir una cuenta o solicitar un préstamo o crédito; y datos de declaraciones de impuestos sobre la renta. Un identificador biométrico capturado fuera de esos contextos, como un escaneo facial en la entrada de un lugar, no está cubierto.

El Fiscal General hace cumplir el capítulo y puede imponer una sanción de hasta $500 por cada registro de cliente desechado indebidamente conforme al O.C.G.A. 10-15-6(a), con un tope total de $10,000.00, sujeto a una defensa afirmativa para una empresa que haya actuado con la debida diligencia. No existe un derecho de acción privado, y el capítulo no se aplica a los bancos cubiertos por la Ley Gramm-Leach-Bliley ni a los hospitales cubiertos por la HIPAA.

Ausencia de reglas biométricas específicas para empleadores

Georgia no restringe a los empleadores de recopilar huellas dactilares, escaneos faciales u otros datos biométricos de los empleados. Las empresas que usan relojes de tiempo biométricos, controles de acceso basados en huellas dactilares, o reconocimiento facial con fines de seguridad no están obligadas por la ley estatal a:

• Obtener consentimiento por escrito antes de recopilar datos biométricos
• Divulgar cómo se almacenarán o usarán los datos biométricos
• Establecer cronogramas de retención o plazos de destrucción
• Limitar el intercambio de datos biométricos con terceros

Esto contrasta marcadamente con estados como Illinois, donde la Ley de Privacidad de Información Biométrica exige el consentimiento informado por escrito e impone daños estatutarios de $1,000 a $5,000 por infracción.

SB 111: la Ley de Protección de la Privacidad del Consumidor de Georgia que fracasó (2026)

El desarrollo reciente más significativo para la privacidad biométrica en Georgia es el SB 111, la Ley de Protección de la Privacidad del Consumidor de Georgia, que habría cubierto los datos biométricos como datos sensibles pero nunca se convirtió en ley. El gobernador Kemp firmó un proyecto de ley sustitutivo como Ley 462 el 11 de mayo de 2026, y ese sustituto es una medida de crédito fiscal para hospitales rurales no relacionada, no una ley de privacidad.

Qué habría hecho el SB 111 respecto de los datos biométricos

Tal como fue aprobado por el Senado, el SB 111 habría clasificado los datos biométricos procesados con el fin de identificar de manera única a una persona como "datos sensibles". La versión aprobada por el Senado habría:

• Exigido que las empresas cubiertas obtuvieran el consentimiento explícito del consumidor antes de procesar datos biométricos
• Exigido avisos claros cuando una empresa vendiera o compartiera datos sensibles, incluida la información biométrica
• Exigido evaluaciones de protección de datos para actividades que involucraran el procesamiento de datos sensibles
• Autorizado al Fiscal General de Georgia a buscar sanciones civiles de hasta $7,500 por infracción, con daños triplicados para infracciones conscientes o deliberadas

Ninguna de estas disposiciones está en vigor, porque fueron eliminadas antes de que el proyecto de ley fuera aprobado.

Qué sucedió en realidad

El SB 111 fue aprobado por el Senado de Georgia el 3 de marzo de 2025, por una votación de 53 a 2, como un proyecto de ley integral de privacidad. La Cámara retiró y volvió a remitir el proyecto de ley en marzo de 2025 y no actuó sobre él antes de que concluyera la sesión de 2025. Cuando la Cámara retomó el proyecto de ley en 2026, un comité de la Cámara reemplazó todo el proyecto de ley por un sustituto no relacionado con la privacidad, modificando en su lugar el estatuto estatal de crédito fiscal para hospitales rurales. La Cámara aprobó esa versión sustitutiva por 162 a 1 el 31 de marzo de 2026, el Senado la aceptó el 2 de abril de 2026, y el gobernador Kemp la firmó como ley con el nombre de Ley 462 el 11 de mayo de 2026. El comunicado de prensa del propio gobernador describe la Ley 462 únicamente como una ampliación de la elegibilidad para créditos fiscales de hospitales rurales, sin ninguna mención a la privacidad del consumidor.

La ACLU de Georgia había criticado la versión de privacidad aprobada por el Senado por sus umbrales de aplicabilidad altos antes de que fuera eliminada: solo se habría aplicado a las entidades que superaran los $25 millones en ingresos anuales y procesaran información personal de al menos 175,000 residentes de Georgia, o de 25,000 residentes si la entidad obtuviera más del 50% de sus ingresos de la venta de datos personales.

Georgia no cuenta hoy con una ley integral de privacidad del consumidor ni con un estatuto específico sobre datos biométricos.

Protecciones federales que se aplican en Georgia

Debido a que las disposiciones de privacidad del SB 111 nunca se convirtieron en ley, y la ley de eliminación de registros de Georgia alcanza solo la porción limitada de registros de clientes descrita anteriormente, los estatutos federales son las principales protecciones legales para los datos biométricos en Georgia.

La Sección 5 de la Ley de la FTC permite que la Comisión Federal de Comercio tome acciones de cumplimiento contra las empresas que participen en prácticas injustas o engañosas relacionadas con datos biométricos. La FTC ha tomado medidas contra empresas por prácticas engañosas de reconocimiento facial y seguridad de datos inadecuada.

La HIPAA protege los datos biométricos cuando son recopilados o usados por entidades de salud cubiertas y sus asociados comerciales. Los datos de huellas dactilares o reconocimiento facial usados en un entorno de atención médica están sujetos a la Regla de Privacidad de la HIPAA.

La FERPA restringe cómo las instituciones educativas manejan los datos biométricos de los estudiantes. Las escuelas que usan sistemas de pago de almuerzo basados en huellas dactilares o reconocimiento facial deben cumplir con los requisitos de privacidad de la FERPA.

La COPPA impone requisitos estrictos sobre la recopilación de datos biométricos de menores de 13 años, incluidos los requisitos de consentimiento parental aplicados por la FTC.

Cómo se compara Georgia con otros estados

Georgia se ubica en el nivel menos protector de los estados en materia de privacidad biométrica. Para comparar:

• Illinois tiene la ley biométrica más estricta del país (BIPA), con un derecho de acción privado y daños estatutarios de $1,000 a $5,000 por infracción
• Texas y Washington tienen estatutos específicos sobre datos biométricos que sus fiscales generales hacen cumplir
• Los estados con leyes de privacidad integrales (como Colorado, Connecticut y Virginia) clasifican los datos biométricos como sensibles y exigen consentimiento para su procesamiento
• Georgia no tiene un estatuto específico sobre datos biométricos ni ninguna ley integral de privacidad. El SB 111 habría clasificado los datos biométricos como sensibles y habría exigido el consentimiento de las empresas cubiertas, pero la Cámara eliminó esas disposiciones antes de su aprobación, por lo que nada de eso se convirtió en ley

Más Leyes de Georgia

• Leyes de Grabación en Reuniones con IA de Georgia
• Leyes de Pensión Alimenticia Conyugal de Georgia
• Leyes de Empleo a Voluntad de Georgia
• Leyes de Accidentes Automovilísticos de Georgia
• Leyes de Asientos de Auto para Niños de Georgia
• Leyes de Custodia de Menores de Georgia
• Leyes de Manutención Infantil de Georgia
• Leyes de Matrimonio de Hecho de Georgia
• Leyes sobre Deepfakes de Georgia
• Leyes de Divorcio de Georgia
• Leyes sobre Mordeduras de Perro de Georgia
• Leyes de Emancipación de Georgia
• Leyes de Eliminación de Antecedentes Penales de Georgia
• Leyes sobre Choque y Fuga de Georgia
• Leyes de Propietarios e Inquilinos de Georgia
• Leyes de Vehículos Defectuosos (Lemon Law) de Georgia

Este artículo proporciona información legal general sobre las leyes de privacidad biométrica de Georgia. No constituye asesoría legal. Las leyes y regulaciones cambian con frecuencia, y este contenido podría no reflejar los desarrollos más recientes. Consulte a un abogado calificado con licencia en Georgia para obtener asesoría sobre su situación específica.

Preguntas frecuentes

¿Georgia tiene una ley de privacidad biométrica?

No. Georgia no cuenta con un estatuto específico sobre datos biométricos como el BIPA de Illinois, ni con ninguna ley integral de privacidad del consumidor. Un proyecto de ley de la sesión 2025-2026, el SB 111 (la Ley de Protección de la Privacidad del Consumidor de Georgia), habría clasificado los datos biométricos procesados para identificar de manera única a una persona como datos sensibles que requieren consentimiento, pero un comité de la Cámara eliminó esas disposiciones antes de su aprobación. El gobernador Kemp firmó un proyecto de ley sustitutivo como Ley 462 el 11 de mayo de 2026, y ese sustituto es una medida de crédito fiscal para hospitales rurales no relacionada.

¿Puede mi empleador exigir escaneos de huellas dactilares en Georgia?

Sí. La ley de Georgia no restringe a los empleadores de recopilar datos biométricos como huellas dactilares o escaneos faciales. Los empleadores no están obligados a obtener consentimiento por escrito, divulgar cómo se usarán los datos biométricos, o establecer cronogramas de retención y destrucción. El SB 111, el proyecto de ley que habría creado requisitos de consentimiento para datos biométricos, nunca se convirtió en ley, y de todas formas habría eximido los datos de empleados y contratistas. Esto difiere significativamente de estados como Illinois, donde los empleadores deben obtener el consentimiento informado por escrito antes de recopilar cualquier información biométrica.

¿Qué sucede si mis datos biométricos sufren una violación en Georgia?

La Ley de Protección de la Identidad Personal de Georgia (O.C.G.A. 10-1-912) exige la notificación de violaciones de datos, pero solo cuando la violación involucra información personal según la define el estatuto, la cual incluye números de Seguro Social, números de licencia de conducir y números de cuenta financiera. Los datos biométricos no están incluidos en esta definición, por lo que una violación que involucre únicamente registros biométricos no activaría los requisitos de notificación bajo la ley estatal actual.

¿Puedo demandar a una empresa en Georgia por el uso indebido de mis datos biométricos?

No. Georgia no cuenta con ningún estatuto de privacidad biométrica, por lo que no existe un derecho de acción bajo la ley estatal por el uso indebido de datos biométricos. A diferencia de Illinois, donde las personas pueden demandar bajo la BIPA y recuperar daños estatutarios, los residentes de Georgia deben depender de teorías de responsabilidad civil de derecho consuetudinario, como la invasión de la privacidad o la negligencia, de protecciones federales como la Ley de la FTC, o de una queja ante el Fiscal General de Georgia. El SB 111, que habría otorgado al Fiscal General autoridad para hacer cumplir requisitos de consentimiento biométrico, nunca se convirtió en ley.

¿Georgia ha aprobado una ley de privacidad biométrica?

No. Georgia no ha promulgado un estatuto dedicado a la privacidad biométrica ni una ley integral de privacidad del consumidor. La Ley de Protección de la Privacidad del Consumidor de Georgia (SB 111) habría cubierto los datos biométricos como datos sensibles que requieren consentimiento, pero un comité de la Cámara eliminó esas disposiciones antes de que el proyecto de ley fuera aprobado. El gobernador Kemp firmó un proyecto de ley sustitutivo, una medida de crédito fiscal para hospitales rurales no relacionada, como ley con el nombre de Ley 462 el 11 de mayo de 2026. Las disposiciones de privacidad, incluida la aplicación por parte del Fiscal General con sanciones de hasta $7,500 por infracción, nunca entraron en vigor.