Leyes de Privacidad Biométrica de Maryland: Recopilación, Consentimiento y Sanciones (2026)

Maryland no cuenta con una ley independiente de privacidad biométrica. En su lugar, la Ley de Privacidad de Datos en Línea de Maryland (MODPA) clasifica los datos biométricos como información personal sensible, restringiendo su recopilación a lo estrictamente necesario para prestar un producto o servicio solicitado, prohibiendo por completo su venta, y autorizando únicamente al Fiscal General a hacer cumplir las infracciones.

Maryland adopta un enfoque diferente respecto a la privacidad biométrica en comparación con estados que cuentan con estatutos biométricos independientes, como Illinois o Texas. En lugar de crear una ley de privacidad biométrica separada, Maryland incorporó protecciones biométricas sólidas dentro de su Ley de Privacidad de Datos en Línea de Maryland (MODPA), firmada por el gobernador Wes Moore el 9 de mayo de 2024.

Lo que hace notable el marco de Maryland es el estándar de estricta necesidad. Las empresas no pueden recopilar datos biométricos solo porque un consumidor haga clic en "acepto". Deben demostrar que los datos son esenciales para prestar un producto o servicio específico que el consumidor solicitó. Combinado con una prohibición absoluta de venta de datos biométricos, esto coloca a Maryland entre los estados más protectores del país en materia de privacidad biométrica.

A continuación se explica cómo funciona la ley y qué significa para los residentes, empleadores y empresas de Maryland.

Cómo Define Maryland los Datos Biométricos

La MODPA define los "datos biométricos" como los datos generados por mediciones automáticas de las características biológicas de un consumidor que pueden utilizarse para autenticar de manera única la identidad de ese consumidor. El texto final del proyecto de ley enumera ejemplos específicos:

• Huellas dactilares
• Impresiones de voz
• Imágenes de retina o iris
• Otras características biológicas únicas utilizadas para autenticación

El estatuto de notificación de violaciones de datos de Maryland (Md. Code Com. Law 14-3501) utiliza una definición ligeramente diferente, pero superpuesta, que agrega la "huella genética" a la lista de identificadores biométricos protegidos.

Qué No Son Datos Biométricos

La MODPA excluye ciertos datos de la definición de datos biométricos:

• Fotografías digitales o físicas
• Grabaciones de audio o video
• Datos generados a partir de fotografías o grabaciones, a menos que se generen específicamente para identificar a un consumidor en particular

Esto significa que la grabación de una cámara de seguridad, por sí sola, no califica como dato biométrico. Sin embargo, si una empresa procesa esa grabación mediante software de reconocimiento facial para identificar a personas específicas, los datos extraídos se convierten en datos biométricos conforme a la ley.

El Problema de la Definición Más Amplia

La definición de datos biométricos de Maryland es notablemente más amplia que la de la mayoría de los demás estados. La MODPA cubre las características biológicas que "pueden utilizarse" para autenticar la identidad, no solo aquellas que "se utilizan" o "se pretenden utilizar" con ese fin. Esta distinción es importante. Una empresa que recopila datos capaces de identificar a alguien, pero que nunca los utiliza realmente para autenticación, sigue poseyendo datos biométricos conforme a la MODPA.

Clasificación como Datos Sensibles y el Estándar de Estricta Necesidad

Conforme a la MODPA, los datos biométricos se clasifican como datos personales sensibles. Esto los coloca en el nivel más alto de protección junto con los datos genéticos, la geolocalización precisa, los datos sobre menores y la información que revela origen racial o étnico, creencias religiosas u orientación sexual.

La clasificación como datos sensibles activa el requisito de estricta necesidad de la MODPA. Los responsables solo pueden recopilar, procesar o compartir datos biométricos cuando sea "estrictamente necesario para proporcionar o mantener un producto o servicio específico solicitado por el consumidor".

Este estándar es más alto que el que establecen la mayoría de las leyes estatales de privacidad. En California, por ejemplo, las empresas pueden procesar datos sensibles con un aviso y la opción de que los consumidores limiten su uso. En Maryland, la pregunta es si la recopilación de datos biométricos es esencial para prestar lo que el consumidor solicitó.

Ejemplos prácticos:

• Un banco que utiliza autenticación por huella dactilar para el inicio de sesión en una aplicación móvil puede recopilar huellas dactilares porque el consumidor solicitó ese servicio
• Una tienda minorista que escanea los rostros de los clientes con fines de análisis de marketing probablemente no supera la prueba de estricta necesidad, porque el reconocimiento facial no es necesario para vender productos
• Un empleador que utiliza relojes checadores con huella dactilar puede enfrentar un escrutinio sobre si la recopilación biométrica es realmente la única forma de registrar la asistencia

Prohibición de Vender Datos Biométricos

La MODPA contiene lo que la oficina del Fiscal General de Maryland describe como una prohibición absoluta: las empresas no pueden vender datos biométricos. Punto.

Esta es la primera prohibición de este tipo bajo cualquier ley estatal integral de privacidad. Otros estados permiten la venta de datos sensibles si el consumidor otorga su consentimiento expreso. Maryland no lo permite. Incluso si un consumidor está explícitamente de acuerdo, una empresa aún no puede vender su información biométrica.

La prohibición se extiende al arrendamiento, intercambio o cualquier otra forma de transferencia de datos biométricos a cambio de una contraprestación monetaria o de otro tipo. Se permiten las transferencias a los encargados del tratamiento que actúan en nombre del responsable bajo un contrato válido, pero no las transferencias a terceros independientes para sus propios fines.

Derechos del Consumidor Sobre los Datos Biométricos

Los residentes de Maryland tienen varios derechos respecto a sus datos biométricos bajo la MODPA:

Derecho de Acceso. Los consumidores pueden solicitar confirmación de si una empresa está procesando sus datos biométricos y obtener una copia de esos datos.

Derecho de Eliminación. Los consumidores pueden solicitar que una empresa elimine sus datos biométricos. La empresa debe cumplir y ordenar a cualquier encargado del tratamiento que también los elimine.

Derecho de Corrección. Los consumidores pueden solicitar la corrección de datos biométricos inexactos.

Derecho a Optar por No Participar. Los consumidores pueden optar por no participar en la publicidad dirigida y la venta de datos personales. Las empresas deben respetar las señales universales de preferencia de exclusión.

Derecho a la Portabilidad de Datos. Los consumidores pueden solicitar sus datos biométricos en un formato portátil y fácilmente utilizable.

Las empresas deben establecer uno o más métodos seguros y confiables para que los consumidores presenten estas solicitudes (Md. Code Com. Law 14-4707(f)). Para las solicitudes de exclusión relacionadas con la publicidad dirigida o la venta de datos personales, el estatuto enumera un enlace claro y visible en el sitio web del responsable como uno de los métodos que puede utilizar, junto con el reconocimiento de una señal universal de preferencia de exclusión. Las empresas no pueden tomar represalias contra los consumidores que ejerzan estos derechos.

Requisitos de Notificación de Violaciones de Datos para Datos Biométricos

La Ley de Protección de Información Personal de Maryland (Md. Code Com. Law 14-3501 a 14-3508) impone requisitos específicos cuando se ven comprometidos datos biométricos en una violación de seguridad. Para un desglose detallado, consulte nuestra guía de Leyes de Notificación de Violaciones de Datos de Maryland.

Requisitos clave:

• Plazo de 45 días. Las empresas deben notificar a las personas afectadas tan pronto como sea razonablemente posible, pero a más tardar 45 días después de descubrir la violación o ser notificadas de ella
• Notificación al Fiscal General primero. El Fiscal General de Maryland debe ser notificado antes de que los consumidores individuales reciban la notificación
• Regla de 10 días para proveedores de servicios. Los proveedores de servicios externos que mantengan datos biométricos en nombre de otra empresa deben notificar al propietario de los datos dentro de los 10 días posteriores al descubrimiento de la violación
• Datos biométricos en la definición de información personal. El estatuto incluye específicamente los datos biométricos generados por mediciones automáticas de características biológicas (huella dactilar, impresión de voz, huella genética, imagen de retina o iris) en la definición de información personal

Contenido Requerido de la Notificación

Las notificaciones de violaciones de datos que involucren datos biométricos deben incluir:

• Una descripción de la información comprometida
• Información de contacto de la empresa y un número gratuito
• Detalles de contacto de las tres principales agencias de informes crediticios
• Información de contacto de la FTC y del Fiscal General de Maryland
• Recursos de prevención del robo de identidad

La ley de notificación de violaciones de datos de Maryland (Md. Code Com. Law 14-3504) permite el envío de la notificación por correo postal, teléfono o correo electrónico si el consumidor consintió. La notificación sustitutiva solo está permitida cuando la empresa no cuenta con información de contacto suficiente para notificar directamente a las personas afectadas, y debe combinar una notificación por correo electrónico (si hay una dirección disponible), un aviso visible en el sitio web de la empresa, y una notificación a los principales medios impresos o de difusión de alcance estatal.

Obligaciones de los Empleadores

Las protecciones al consumidor de la MODPA, incluido el estándar de estricta necesidad y la prohibición de vender datos biométricos, generalmente no se extienden a los datos biométricos que los empleadores de Maryland recopilan sobre sus propios trabajadores. La MODPA define "consumidor" excluyendo a una persona que actúa en un contexto comercial o laboral, y a un empleado, propietario, director, funcionario o contratista cuyas comunicaciones o transacciones con una empresa ocurren únicamente dentro de ese rol (Md. Code Com. Law 14-4701(h)(2)). Debido a que los derechos y restricciones de la MODPA se aplican a "consumidores" según esa definición, un reloj checador de huella dactilar o un lector de credenciales por reconocimiento facial utilizado solo con empleados actualmente queda fuera del alcance de la MODPA.

Eso no deja sin regulación los datos biométricos de los empleados. La Ley de Protección de Información Personal de Maryland en materia de notificación de violaciones de datos (Md. Code Com. Law 14-3504) no está limitada a la definición de consumidor de la MODPA, por lo que un empleador aún debe notificar a los trabajadores afectados, siguiendo las mismas reglas de plazo de 45 días y notificación al Fiscal General primero descritas anteriormente, si sus datos biométricos se ven expuestos en una violación de seguridad. Los empleadores también siguen sujetos a los deberes ordinarios de negligencia y seguridad de datos bajo la ley de Maryland, y a cualquier ley federal que aborde un contexto biométrico específico, como la GINA en el caso de información genética.

Maryland también regula directamente una práctica biométrica de los empleadores, pero en la etapa de contratación y no durante el empleo. Conforme a Md. Code, Lab. & Empl. 3-717, un empleador no puede utilizar un servicio de reconocimiento facial para crear una plantilla facial durante la entrevista de trabajo de un solicitante, a menos que este otorgue su consentimiento firmando una exención (waiver). La exención debe indicar, en lenguaje sencillo, el nombre del solicitante, la fecha de la entrevista, que el solicitante consiente el uso de reconocimiento facial durante la entrevista, y si el solicitante leyó la exención. La sección define un servicio de reconocimiento facial como la tecnología que analiza las características faciales y se utiliza para el reconocimiento o el seguimiento persistente de personas en imágenes fijas o de video, y se aplica únicamente a las entrevistas, por lo que no rige los relojes checadores de huella dactilar ni los lectores de credenciales utilizados con empleados actuales.

Fuera de esa disposición, Maryland actualmente no cuenta con ningún estatuto que exija consentimiento expreso previo, una demostración de estricta necesidad o una prohibición de venta antes de que un empleador implemente un reloj checador biométrico o un sistema de acceso por reconocimiento facial para su propia fuerza laboral.

Aplicación y Sanciones

La Oficina del Fiscal General de Maryland, a través de la División de Protección al Consumidor, tiene autoridad exclusiva de aplicación sobre la MODPA. No existe un derecho de acción privada, lo que significa que los consumidores individuales no pueden demandar directamente a las empresas por infracciones relacionadas con datos biométricos.

Estructura de Sanciones

• Primera infracción: hasta $10,000 por infracción
• Infracciones posteriores: hasta $25,000 por infracción
• Recursos adicionales: medidas cautelares, restitución, daños económicos y confiscación de ganancias

Periodo de Subsanación

Antes de iniciar una medida formal de aplicación, el Fiscal General puede emitir un aviso de infracción si el problema es subsanable. El responsable o el encargado del tratamiento tiene entonces 60 días para corregir el problema. Si subsanan la infracción dentro de ese plazo, el Fiscal General puede optar por no imponer sanciones por ese problema específico.

Este periodo de subsanación no es permanente. Se aplica únicamente a infracciones ocurridas el 1 de abril de 2027 o antes; después de esa fecha, el Fiscal General puede perseguir medidas de aplicación sin ofrecer primero una oportunidad de subsanación.

Cronología de Aplicación

La MODPA entró en vigor el 1 de octubre de 2025, y la División de Protección al Consumidor ha tenido autoridad para aplicarla, incluyendo el uso del periodo de subsanación discrecional, desde esa fecha. El periodo de subsanación en sí tiene una fecha de vencimiento fija: conforme a Md. Code Com. Law 14-4714, la División puede ofrecer una oportunidad de subsanación de 60 días únicamente para infracciones ocurridas el 1 de abril de 2027 o antes. Después de esa fecha, el Fiscal General puede perseguir medidas de aplicación sin ofrecer primero una oportunidad de subsanación.

Para las infracciones de notificación de violaciones de datos, la aplicación se realiza a través de la Ley de Protección al Consumidor de Maryland. Las infracciones se tratan como prácticas comerciales injustas o engañosas, que tienen su propia estructura de sanciones.

Legislación Relacionada

Maryland continúa considerando protecciones adicionales de privacidad biométrica más allá de la MODPA.

SB 169 (Identificadores Biométricos). Presentado en una sesión anterior, este proyecto de ley habría creado una ley de privacidad biométrica independiente similar a la BIPA de Illinois, incluido un derecho de acción privada. Aunque no fue aprobado, señala el interés legislativo en ir más allá del modelo de aplicación exclusiva del Fiscal General de la MODPA.

HB 264 (Ley de Privacidad y Protección de Datos de Maryland de 2026). Este proyecto de ley fue promulgado como el Capítulo 435, aprobado por el Gobernador el 12 de mayo de 2026, y entró en vigor el 1 de octubre de 2026. Limita la información personal que las unidades del gobierno estatal pueden recopilar, mantener y conservar, exige la eliminación o desidentificación de ciertos datos personales, ordena avisos de privacidad en los sitios web de las agencias y exige que cada unidad estatal designe a un Oficial de Privacidad.

SB 182 (Tecnología de Reconocimiento Facial). Este proyecto de ley establece requisitos y prohibiciones para el uso de tecnología de reconocimiento facial por parte de las fuerzas del orden y exige programas de capacitación a través del Departamento de Seguridad Pública y Servicios Correccionales. Fue aprobado por el Gobernador en la sesión de 2024 como el Capítulo 808.

Estos proyectos de ley reflejan una tendencia más amplia en Maryland hacia protecciones biométricas en capas, con la MODPA como base y legislación específica dirigida a casos de uso particulares.

Cómo se Compara Maryland con Otros Estados

Las protecciones biométricas de Maryland se ubican en el nivel medio entre los estados de EE. UU., pero con algunas características singularmente sólidas.

El estándar de estricta necesidad de Maryland y su prohibición absoluta de venta de datos biométricos son más sólidos que el marco de California. Sin embargo, la falta de un derecho de acción privada significa que la aplicación depende por completo de las prioridades y los recursos del Fiscal General.

Más Leyes de Maryland

• Leyes de Grabación de Reuniones con IA de Maryland
• Leyes de Pensión Alimenticia Conyugal de Maryland
• Leyes de Empleo a Voluntad de Maryland
• Leyes sobre Accidentes de Auto de Maryland
• Leyes sobre Asientos de Auto para Niños de Maryland
• Leyes de Custodia de Menores de Maryland
• Leyes de Manutención Infantil de Maryland
• Leyes de Matrimonio de Hecho de Maryland
• Leyes sobre Deepfakes de Maryland
• Leyes de Divorcio de Maryland
• Leyes sobre Mordeduras de Perro de Maryland
• Leyes de Emancipación de Maryland
• Leyes de Eliminación de Antecedentes de Maryland
• Leyes sobre Fuga del Lugar del Accidente de Maryland
• Leyes de Arrendador-Inquilino de Maryland
• Ley del Limón de Maryland

Fuentes y Referencias

Este artículo hace referencia a los estatutos de Maryland, al texto final de los proyectos de ley y a publicaciones oficiales del gobierno estatal. Para el texto completo de la MODPA, visite el sitio web de la Asamblea General de Maryland. Para orientación sobre la aplicación por el Fiscal General y la presentación de quejas, visite la página de privacidad de datos del Fiscal General de Maryland.

Este artículo ofrece información legal general sobre las leyes de privacidad de datos de Maryland. No constituye asesoría legal. Consulte a un abogado calificado para obtener orientación sobre su situación específica. Las leyes y regulaciones cambian con frecuencia. Verifique los requisitos actuales a través de fuentes oficiales del gobierno de Maryland.

Preguntas frecuentes

¿Tiene Maryland una ley de privacidad biométrica independiente como la BIPA de Illinois?

No. Maryland no cuenta con un estatuto de privacidad biométrica separado. En su lugar, los datos biométricos están protegidos como datos personales sensibles bajo la Ley de Privacidad de Datos en Línea de Maryland (MODPA), que entró en vigor el 1 de octubre de 2025 y ha sido aplicable desde esa fecha. La MODPA clasifica los datos biométricos junto con los datos genéticos, la geolocalización precisa y otras categorías sensibles, otorgándoles el más alto nivel de protección dentro del marco integral de privacidad.

¿Puedo demandar a una empresa en Maryland por el uso indebido de mis datos biométricos?

No. La MODPA no incluye un derecho de acción privada. Solo el Fiscal General de Maryland, a través de la División de Protección al Consumidor, puede emprender medidas de aplicación por infracciones relacionadas con datos biométricos. Si considera que una empresa manejó indebidamente sus datos biométricos, puede presentar una queja ante la oficina del Fiscal General al 410-576-6300 o de forma gratuita al 1-888-743-0023. Para las violaciones de datos que involucren datos biométricos, el estatuto de notificación de violaciones también depende de la aplicación por el Fiscal General en lugar de demandas privadas.

¿Qué datos biométricos protege la ley de Maryland?

La MODPA protege los datos generados por mediciones automáticas de características biológicas que puedan utilizarse para autenticar de manera única la identidad de un consumidor. Esto incluye huellas dactilares, impresiones de voz, imágenes de retina o iris y otras características biológicas únicas. La ley no cubre las fotografías simples, las grabaciones de audio o las grabaciones de video, a menos que dichos datos se generen específicamente para identificar a un consumidor en particular. La ley de notificación de violaciones de datos de Maryland también incluye las huellas genéticas en su definición biométrica.

¿Puede mi empleador recopilar mis huellas dactilares para un reloj checador en Maryland?

Las protecciones al consumidor de la MODPA actualmente no se aplican a los datos biométricos que un empleador recopila sobre sus propios empleados, porque la MODPA define 'consumidor' excluyendo a las personas que actúan en un contexto laboral (Md. Code Com. Law 14-4701(h)(2)). Eso significa que el estándar de estricta necesidad y la prohibición de venta no alcanzan a un reloj checador de huella dactilar utilizado solo para el control de asistencia de empleados. La ley de notificación de violaciones de datos de Maryland, que es independiente, todavía exige que un empleador notifique a los trabajadores si sus datos biométricos se ven expuestos en una violación de seguridad, y los deberes ordinarios de negligencia y seguridad de datos siguen aplicando.

¿Con qué rapidez debe una empresa notificarme si se filtran mis datos biométricos en Maryland?

Conforme a la ley de notificación de violaciones de datos de Maryland (Md. Code Com. Law 14-3504), una empresa debe notificar a las personas afectadas dentro de un plazo de 45 días desde que descubre o es notificada de una violación que involucre datos biométricos. La empresa también debe notificar al Fiscal General de Maryland antes de enviar las notificaciones individuales. Los proveedores de servicios externos que mantengan datos biométricos para otra empresa deben notificar al propietario de los datos dentro de los 10 días posteriores al descubrimiento de la violación.