Leyes de Privacidad Biométrica de Michigan: Recopilación, Consentimiento y Sanciones (2026)

Michigan no cuenta con una ley dedicada a la privacidad biométrica. La Ley de Protección contra el Robo de Identidad (MCL 445.63) clasifica los datos biométricos como información de identificación personal, pero esa clasificación por sí sola no activa la notificación de violaciones: la obligación de notificación de la Ley bajo el MCL 445.72 está vinculada a un término más restringido y definido por separado, información personal, que actualmente cubre únicamente un nombre combinado con un número de Seguro Social, un número de licencia de conducir o identificación estatal, o un número de cuenta financiera. No existe un derecho de acción privado bajo la Ley de Protección contra el Robo de Identidad, aunque la Ley de Protección al Consumidor de Michigan permite por separado que una persona que sufra una pérdida por una práctica engañosa presente una demanda. Dos proyectos de ley pendientes, SB 359 y SB 360, podrían agregar requisitos de consentimiento y, en el caso del SB 360, agregar los datos biométricos a la definición de notificación de violaciones por primera vez.

Michigan adopta un enfoque diferente hacia la privacidad biométrica en comparación con estados como Illinois y Texas. En lugar de promulgar una ley de privacidad de información biométrica dedicada, Michigan protege los datos biométricos mediante su Ley de Protección contra el Robo de Identidad y su Ley de Protección al Consumidor ya existentes. Para los residentes que se preguntan si sus huellas dactilares, escaneos faciales o huellas de voz tienen protección legal, la respuesta es sí, pero con limitaciones importantes.

Esta guía explica cómo la ley de Michigan trata actualmente los datos biométricos, qué deben hacer las empresas cuando se compromete información biométrica, y cómo la legislación pendiente podría acercar a Michigan a las protecciones biométricas integrales que se encuentran en otros estados.

Para un contexto más amplio sobre las protecciones de privacidad de Michigan, consulte la guía principal de Leyes de Privacidad de Datos de Michigan.

Qué Cuenta como Datos Biométricos Bajo la Ley de Michigan

Solo un estatuto de consumo de Michigan menciona los datos biométricos por su nombre. Un segundo, la Ley de Protección al Consumidor, nunca utiliza esa palabra, pero aun así puede alcanzar las prácticas biométricas mediante su prohibición general de conductas engañosas.

Ley de Protección contra el Robo de Identidad (MCL 445.63)

La Ley de Protección contra el Robo de Identidad, promulgada como la Ley 452 de 2004, define la "información de identificación personal" como un nombre, número u otra información utilizada para identificar a una persona específica o para acceder a cuentas financieras. El estatuto enumera explícitamente los datos biométricos como una categoría de información de identificación personal junto con los números de licencia de conducir, los números de Seguro Social y las credenciales de cuentas financieras.

Esta clasificación no extiende por sí sola el marco de notificación de violaciones de Michigan a los datos biométricos. La obligación de notificación de la Ley de Protección contra el Robo de Identidad bajo el MCL 445.72 se activa únicamente por la exposición de información personal, un término más restringido y definido por separado, limitado a un nombre combinado con un número de Seguro Social, un número de licencia de conducir o identificación estatal, o un número de cuenta financiera. Los datos biométricos por sí solos no activan actualmente obligaciones de notificación, a menos que resulten expuestos junto con alguno de esos elementos.

Ley de Protección al Consumidor de Michigan (MCL 445.903)

La Ley de Protección al Consumidor de Michigan (MCPA), Ley 331 de 1976, no menciona los datos biométricos en absoluto. Sin embargo, la MCPA prohíbe las prácticas comerciales desleales, abusivas o engañosas. El Fiscal General de Michigan tiene la autoridad de emprender acciones de aplicación bajo la MCPA contra empresas que recopilan o manejan datos biométricos de maneras que engañan a los consumidores o violan expectativas razonables de privacidad.

Tipos de Identificadores Biométricos

Los estatutos de consumo de Michigan no definen los datos biométricos. El MCL 445.63(q) enumera únicamente la palabra "biométricos", sin definición ni ejemplos, por lo que actualmente no existe una lista de la ley de consumo de Michigan sobre qué cuenta como tal. Las categorías siguientes provienen del Proyecto de Ley del Senado 359 pendiente, que definiría los datos biométricos como «datos generados por mediciones automáticas de las características biológicas de una persona que pueden usarse para identificar a una persona específica, incluyendo, entre otros, una huella dactilar, una huella de voz, las retinas o los iris de los ojos, u otros patrones o características biológicas únicos»:

• Huellas dactilares y huellas palmares
• Huellas de voz
• Escaneos de retina e iris
• Mediciones de geometría facial
• Otros patrones biológicos únicos utilizados para identificación

El SB 359 también excluiría las fotografías físicas o digitales, las grabaciones de video y las grabaciones de audio, así como los datos derivados de ellas, a menos que esos datos se generen específicamente para identificar a una persona. Esa exclusión es ley propuesta, no ley vigente. La única definición de «datos biométricos» que existe hoy en los estatutos de Michigan, el MCL 28.241a(b), rige los registros de arresto y detención, no los datos de consumo, y funciona en sentido contrario: incluye expresamente «las imágenes digitales registradas durante el proceso de arresto o detención, incluyendo una captura de rostro completo, los perfiles izquierdo y derecho, y cicatrices, marcas y tatuajes». No asuma que las imágenes quedan fuera del término en todos los contextos de Michigan.

Requisitos de Notificación de Violaciones para Datos Biométricos

Los datos biométricos entran dentro de la definición más amplia de Michigan de información de identificación personal, pero las reglas de notificación de violaciones del MCL 445.72 están vinculadas a un término más restringido y definido por separado, información personal, limitado a un nombre combinado con un número de Seguro Social, un número de licencia de conducir o identificación estatal, o un número de cuenta financiera. Los datos biométricos por sí solos actualmente no forman parte de esa definición que activa la notificación, una brecha que el SB 360 cerraría.

Quién Debe Cumplir

Cualquier persona o agencia que posea o licencie datos que contengan información personal de residentes de Michigan debe cumplir. Esto incluye empresas privadas, agencias gubernamentales y organizaciones sin fines de lucro. El solo hecho de mantener una base de datos con registros biométricos no coloca por sí solo a una entidad bajo la obligación de notificación, porque los datos biométricos no forman parte de la definición de información personal que activa el MCL 445.72. Una persona o agencia que únicamente mantiene datos que no posee ni licencia tiene una obligación separada y más limitada bajo el MCL 445.72(2): debe notificar al propietario o licenciante, no a los residentes afectados.

Cuándo se Requiere Notificación

Una entidad debe notificar a los residentes afectados de Michigan tras descubrir una violación de seguridad que resulte en el acceso y adquisición no autorizados de información personal sin cifrar y sin redactar, es decir, un nombre combinado con un número de Seguro Social, un número de licencia de conducir o identificación estatal, o un número de cuenta financiera. Los datos biométricos por sí solos no están incluidos actualmente en esa definición. No se requiere notificación si la entidad determina que la violación no es probable que cause pérdida sustancial, daño o robo de identidad.

Cronograma de Notificación

Bajo la ley actual, la notificación debe proporcionarse "sin demora injustificada". Los retrasos solo se permiten cuando son necesarios para determinar el alcance de la violación o cuando las fuerzas del orden solicitan un aplazamiento para una investigación criminal en curso.

Cómo Notificar

La ley de Michigan permite varios métodos de notificación según el número de personas afectadas y el costo de la notificación:

• Aviso escrito enviado por correo postal
• Aviso electrónico si la persona afectada consintió previamente a las comunicaciones electrónicas
• Aviso telefónico a través de un representante en vivo, con seguimiento por escrito
• Aviso sustituto para violaciones que afecten a más de 500,000 residentes o que cuesten más de $250,000, lo cual incluye notificación por correo electrónico, publicación visible en el sitio web y notificación a los principales medios de comunicación estatales

Obligaciones de Terceros

Las entidades que mantienen información personal en nombre de otra organización deben notificar al propietario de los datos sobre cualquier violación. El propietario de los datos asume entonces la responsabilidad de notificar a las personas afectadas.

Sanciones por Violaciones de Datos Biométricos

Michigan aplica las protecciones de datos biométricos principalmente a través de su marco de sanciones por notificación de violaciones y de la Ley de Protección al Consumidor.

Sanciones por Notificación de Violaciones

Bajo el MCL 445.72, no proporcionar a sabiendas la notificación de violación requerida conlleva multas civiles de hasta $250 por cada incumplimiento de notificación. La responsabilidad total por un solo incidente de violación tiene un tope de $750,000.

Presentar una notificación de violación falsa con la intención de defraudar es un delito menor. Las primeras infracciones conllevan hasta 93 días de prisión o una multa de $250. Las sanciones aumentan para infracciones reincidentes, llegando hasta $750 para una tercera infracción.

Aplicación de la Ley de Protección al Consumidor

El Fiscal General de Michigan puede emprender acciones de aplicación bajo la Ley de Protección al Consumidor contra entidades que participen en prácticas desleales o engañosas relacionadas con datos biométricos. Los remedios pueden incluir medidas cautelares, restitución y sanciones civiles.

Sin Derecho de Acción Privado para Violaciones de Datos

A diferencia de Illinois, donde las personas pueden demandar directamente a las empresas por violaciones de privacidad biométrica bajo la BIPA, Michigan actualmente no proporciona un derecho de acción privado específicamente para violaciones de datos biométricos. La aplicación del estatuto de notificación de violaciones recae en el Fiscal General de Michigan y los fiscales de condado.

Esa limitación es más estrecha de lo que parece. Un consumidor perjudicado por una práctica engañosa relacionada con datos biométricos puede aun así demandar bajo la Ley de Protección al Consumidor: el MCL 445.911 permite que una persona que sufra una pérdida por una violación busque una sentencia declaratoria o una medida cautelar, o recupere daños reales o $250, lo que sea mayor, junto con honorarios razonables de abogado. La sección también permite acciones colectivas.

Cómo se Compara Michigan con Otros Estados

Las protecciones biométricas de Michigan son moderadas en comparación con otros estados. Comprender las diferencias ayuda a las empresas que operan en múltiples estados a evaluar sus obligaciones de cumplimiento.

Illinois tiene la ley de privacidad biométrica más estricta del país mediante la Ley de Privacidad de Información Biométrica (BIPA), que exige consentimiento por escrito antes de la recopilación, establece políticas obligatorias de retención y destrucción, y otorga un derecho de acción privado con daños estatutarios de $1,000 a $5,000 por violación.

Texas exige consentimiento antes de capturar identificadores biométricos bajo la Ley de Captura o Uso de Identificadores Biométricos (CUBI), pero solo el Fiscal General de Texas puede hacerla cumplir.

Michigan actualmente no tiene un requisito de consentimiento independiente para la recopilación biométrica. La protección se limita a la aplicación general de protección al consumidor, ya que los datos biométricos por sí solos no activan actualmente la ley estatal de notificación de violaciones. Si se aprueba el SB 359 o el SB 360, Michigan obtendría requisitos de consentimiento afirmativo previo (opt-in) y ampliaría las obligaciones de notificación de violaciones para cubrir directamente los identificadores biométricos.

Uso de Datos Biométricos por Empleadores en Michigan

Michigan no tiene un estatuto específico que regule la recopilación de datos biométricos por parte de empleadores para fines como relojes checadores, acceso a edificios o verificación de identidad. Sin embargo, se aplican varios marcos legales.

Verificación de Antecedentes Mediante Huellas Dactilares

La Ley de Verificación de Antecedentes Penales Mediante Huellas Dactilares para Empleados Públicos (Ley 427 de 2018) exige verificaciones de antecedentes basadas en huellas dactilares para empleados públicos que tendrán acceso a bases de datos de información federal. La División de Biometría e Identificación de la Policía Estatal de Michigan procesa estas presentaciones de huellas dactilares a través del Sistema Automatizado de Identificación de Huellas Dactilares del estado (AFIS).

Ciertas industrias reguladas, incluidas las empresas de seguridad bajo el MCL 338.1068, deben presentar las huellas dactilares de sus empleados a la Policía Estatal de Michigan antes de que el empleado comience a trabajar.

Mejores Prácticas para Empleadores

Incluso sin una ley dedicada de consentimiento biométrico, los empleadores de Michigan que recopilan datos biométricos deben:

• Proporcionar aviso por escrito que explique qué datos biométricos se recopilan, cómo se utilizarán y por cuánto tiempo se almacenarán
• Obtener consentimiento por escrito antes de recopilar huellas dactilares, escaneos faciales u otros identificadores biométricos
• Establecer una política de retención y destrucción que destruya permanentemente los datos biométricos cuando termine la relación laboral o cuando los datos ya no sean necesarios
• Limitar el acceso a los datos biométricos únicamente al personal autorizado
• Utilizar cifrado para la información biométrica almacenada y transmitida

Estas prácticas se alinean con los requisitos propuestos en el SB 359 y ayudan a los empleadores a prepararse para posible legislación futura.

Legislación Pendiente: Qué Podría Cambiar

El SB 360 fue aprobado por el Senado de Michigan en agosto de 2025 y está pendiente en la Cámara de Representantes; el SB 359 permanece ante el Pleno del Senado (Committee of the Whole) sin haber recibido una votación en el pleno, a partir de agosto de 2026. Si se promulgan, fortalecerían sustancialmente las protecciones de privacidad biométrica.

SB 359: Ley de Privacidad de Datos Personales

El Proyecto de Ley del Senado 359, presentado por la senadora Rosemary Bayer el 5 de junio de 2025, crearía la primera ley integral de privacidad de datos del consumidor de Michigan. El proyecto de ley recibió un informe favorable del Comité de Finanzas, Seguros y Protección al Consumidor del Senado y fue remitido al Comité Plenario.

Las disposiciones biométricas clave del SB 359 incluyen:

• Datos biométricos como datos sensibles. El proyecto de ley clasifica los datos biométricos como una categoría de datos sensibles junto con la geolocalización precisa, los datos sobre menores conocidos y cierta información de salud.
• Se requiere consentimiento previo (opt-in). Los controladores deben obtener el consentimiento afirmativo del consumidor antes de procesar cualquier dato sensible, incluidos los identificadores biométricos.
• Minimización de datos. La recopilación y el procesamiento de datos biométricos deben limitarse a lo estrictamente necesario para proporcionar o mantener el producto o servicio específico solicitado por el consumidor.
• Derechos del consumidor. Los residentes de Michigan obtendrían el derecho de acceder, corregir, eliminar y transferir sus datos personales, además del derecho de optar por no participar en la venta de datos y en la publicidad dirigida.
• Aplicación por el Fiscal General. El SB 359 sería aplicado exclusivamente por el Fiscal General de Michigan, sin derecho de acción privado.

El proyecto de ley se aplicaría a entidades que hacen negocios en Michigan y que procesan datos de al menos 100,000 consumidores por año, o al menos 25,000 consumidores si obtienen algún ingreso de la venta de datos personales.

SB 360: Enmiendas a la Ley de Protección contra el Robo de Identidad

El Proyecto de Ley del Senado 360, parte de un paquete de cinco proyectos de ley (SB 360-364), fue aprobado por el Senado de Michigan el 26 de agosto de 2025 y remitido al Comité de Operaciones Gubernamentales de la Cámara de Representantes.

Los cambios clave propuestos por el SB 360 incluyen:

• Definición ampliada de información personal. El proyecto de ley agregaría explícitamente "cualquier información genética o biométrica utilizada para autenticar o determinar la identidad de la persona, como una huella dactilar, huella de voz, o imagen de retina o iris" a la definición de información personal en el estatuto de notificación de violaciones.
• Plazo de notificación de 45 días. Las entidades deberían notificar a las personas afectadas y al Fiscal General dentro de los 45 días posteriores a determinar que ocurrió una violación, reemplazando el estándar actual de "sin demora injustificada".
• Notificación al Fiscal General. Las violaciones que afecten a 100 o más residentes de Michigan requerirían notificación al Fiscal General.
• Programas de seguridad obligatorios. Las entidades deberían implementar procedimientos de seguridad razonables, designar un coordinador de seguridad y seguir el Marco de Ciberseguridad del NIST 2.0 o un estándar equivalente de la industria.
• Aplicación reforzada. El Fiscal General obtendría facultades ampliadas para emitir demandas por escrito, aceptar garantías de cese y buscar multas civiles de hasta $2,000 por cada violación de procedimiento de seguridad o falla en la investigación.

La Policía Estatal de Michigan y los Datos Biométricos

La Policía Estatal de Michigan (MSP) opera una de las bases de datos biométricas más grandes del estado a través de su División de Biometría e Identificación. Dos sistemas son particularmente relevantes para la privacidad biométrica.

Sistema Automatizado de Identificación de Huellas Dactilares (AFIS)

La Sección de Identificación Automatizada de Huellas de la MSP mantiene registros de huellas dactilares para fines de justicia penal. Las huellas dactilares recopiladas durante arrestos, verificaciones de antecedentes y procesos de licencia se almacenan en AFIS y pueden buscarse en bases de datos estatales y del FBI.

Red Estatal de Fotografías de Agencias (SNAP)

El sistema SNAP permite a las fuerzas del orden realizar búsquedas de reconocimiento facial contra una base de datos de fotografías de arresto. La Política de Uso Aceptable de SNAP de la MSP restringe las búsquedas de reconocimiento facial a cinco propósitos: consentimiento de la persona, causa probable de arresto, una orden judicial o de cateo, identificación de una persona vulnerable o con discapacidad, o identificación de una persona fallecida.

La MSP no utiliza vigilancia de reconocimiento facial en tiempo real. El departamento ha declarado públicamente que no posee la tecnología para escanear multitudes o identificar personas a partir de transmisiones de video en vivo.

Más Leyes de Michigan

• Leyes de Grabación de Reuniones con IA de Michigan
• Leyes de Pensión Alimenticia de Michigan
• Leyes de Empleo a Voluntad de Michigan
• Leyes de Accidentes de Auto de Michigan
• Leyes de Asientos de Seguridad para Niños de Michigan
• Leyes de Custodia de los Hijos de Michigan
• Leyes de Manutención de los Hijos de Michigan
• Leyes de Matrimonio de Hecho de Michigan
• Leyes de Deepfake de Michigan
• Leyes de Divorcio de Michigan
• Leyes de Mordedura de Perro de Michigan
• Leyes de Emancipación de Michigan
• Leyes de Eliminación de Antecedentes de Michigan
• Leyes de Atropello y Fuga de Michigan
• Leyes de Propietarios e Inquilinos de Michigan
• Leyes Limón de Michigan

Este artículo proporciona información legal general sobre las leyes de privacidad biométrica de Michigan. No constituye asesoría legal. La ley de privacidad biométrica está evolucionando rápidamente en Michigan, y la legislación pendiente descrita aquí podría cambiar antes de su promulgación. Consulte a un abogado calificado de Michigan para orientación sobre su situación específica.

Preguntas frecuentes

¿Tiene Michigan una ley de privacidad biométrica como la BIPA de Illinois?

No. Michigan no tiene un estatuto independiente de privacidad biométrica. La Ley de Protección contra el Robo de Identidad (MCL 445.61 y siguientes) clasifica los datos biométricos como información de identificación personal, pero ese término es más amplio que la definición de información personal que realmente activa la obligación de notificación de violaciones de la Ley, por lo que la exposición de datos biométricos por sí sola no exige actualmente notificación. Las violaciones en el manejo de datos biométricos también pueden perseguirse bajo la Ley de Protección al Consumidor de Michigan como prácticas comerciales desleales. Sin embargo, Michigan actualmente no exige consentimiento previo para la recopilación de datos biométricos, y no otorga un derecho de acción privado específicamente para violaciones de privacidad biométrica, aunque el MCL 445.911 permite que un consumidor perjudicado por una práctica engañosa demande bajo la Ley de Protección al Consumidor.

¿Qué sucede si una empresa no notifica a los residentes de Michigan tras una violación de datos biométricos?

Bajo el MCL 445.72, no proporcionar a sabiendas la notificación de violación requerida conlleva multas civiles de hasta $250 por cada incumplimiento de notificación, con una responsabilidad total limitada a $750,000 por incidente de violación. El Fiscal General de Michigan y los fiscales de condado pueden emprender acciones de aplicación. Presentar una notificación de violación falsa es un delito menor sancionable con hasta 93 días de prisión o multas que van de $250 a $750 según el número de infracciones previas.

¿Pueden los empleadores de Michigan exigir escaneos de huellas dactilares para relojes checadores o acceso a edificios?

Sí, bajo la ley actual de Michigan. No existe ningún estatuto estatal que prohíba a los empleadores recopilar huellas dactilares u otros datos biométricos para fines laborales como el control de horario o el control de acceso. Sin embargo, si se aprueba el SB 359, los empleadores que procesen datos biométricos de consumidores de Michigan necesitarían obtener consentimiento previo y seguir los requisitos de minimización de datos. Los empleadores deberían adoptar políticas de consentimiento escrito y retención desde ahora para prepararse ante posibles cambios legislativos.

¿Aprobará Michigan una ley integral de privacidad biométrica?

Es posible. El SB 359, la Ley de Privacidad de Datos Personales, se presentó en junio de 2025 y clasifica los datos biométricos como datos sensibles que requieren consentimiento previo antes de su procesamiento. El proyecto de ley recibió un informe favorable del Comité de Finanzas del Senado y avanza en la legislatura. El SB 360, que ampliaría la notificación de violaciones para cubrir explícitamente los identificadores biométricos e impondría un plazo de notificación de 45 días, fue aprobado por el pleno del Senado en agosto de 2025. Ambos proyectos de ley están pendientes en la Cámara de Representantes de Michigan desde marzo de 2026.

¿Utiliza Michigan tecnología de reconocimiento facial, y existen protecciones de privacidad?

La Policía Estatal de Michigan opera el sistema de Red Estatal de Fotografías de Agencias (SNAP) para búsquedas de reconocimiento facial contra fotografías de arresto. Su uso está restringido a cinco propósitos autorizados bajo la Política de Uso Aceptable de SNAP: consentimiento individual, causa probable de arresto, orden judicial o de cateo, identificación de personas vulnerables o con discapacidad, e identificación de personas fallecidas. La MSP no realiza vigilancia en tiempo real ni escanea multitudes mediante reconocimiento facial. Todos los datos de SNAP se clasifican como información personal altamente restringida bajo las políticas estatales y federales de CJIS.