New Mexico
Leyes de Privacidad Biométrica de Nuevo México: Recopilación, Consentimiento y Sanciones (2026)
Verificado de forma independiente contra fuentes primarias (última auditoría: 15 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 7 de agosto de 2026. · 7 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
Nuevo México no cuenta con una ley independiente de privacidad biométrica. Los datos biométricos están protegidos bajo la Ley de Notificación de Violaciones de Datos (Data Breach Notification Act) (N.M. Stat. Ann. 57-12C-1), que exige que las organizaciones notifiquen a los residentes afectados dentro de los 45 días posteriores a una violación, pero no impone reglas de consentimiento ni de recolección de datos. El Fiscal General hace cumplir la ley; las personas no tienen derecho de acción privada.
Nuevo México adopta un enfoque de notificación de violaciones para la privacidad biométrica. El estado no cuenta con un estatuto dedicado que regule cómo las empresas recolectan, almacenan o utilizan identificadores biométricos. En cambio, los datos biométricos quedan comprendidos dentro de la Ley de Notificación de Violaciones de Datos (N.M. Stat. Ann. 57-12C-1 a 57-12C-12), que exige que las organizaciones notifiquen a los residentes cuando su información personal, incluidos los datos biométricos, se vea comprometida en una violación de seguridad.
Esto significa que los empleadores y empresas de Nuevo México pueden recolectar huellas dactilares, escaneos faciales y otros identificadores biométricos sin obtener consentimiento previo ni seguir procedimientos de recolección específicos. La obligación legal surge únicamente después de que algo sale mal.
Para obtener una visión general del marco de privacidad más amplio del estado, consulte la guía principal sobre las Leyes de Privacidad de Datos de Nuevo México.
Cómo Define Nuevo México los Datos Biométricos
La Ley de Notificación de Violaciones de Datos define los datos biométricos bajo N.M. Stat. Ann. 57-12C-2 como un registro generado por mediciones automáticas de las características biológicas de una persona identificada. El estatuto enumera específicamente:
- Huellas dactilares
- Huellas de voz
- Patrones de iris o retina
- Características faciales
- Geometría de la mano
Existe un matiz importante. Los datos biométricos deben "utilizarse para autenticar de manera única y duradera la identidad de una persona cuando esta accede a una ubicación física, dispositivo, sistema o cuenta". Las mediciones biométricas recolectadas con fines de investigación, análisis u otros propósitos distintos de la autenticación no califican como información personal identificable protegida bajo este estatuto.
Esta definición vinculada a la autenticación es más limitada que las definiciones utilizadas en estados con leyes de privacidad biométrica dedicadas, como Illinois o Washington.
Qué Exige la Ley de Notificación de Violaciones de Datos
Información Personal Identificable
Los datos biométricos son una de varias categorías que califican como información personal identificable (personal identifying information, PII) bajo la Ley. La lista completa incluye el nombre o la inicial del nombre y el apellido de una persona combinados con cualquiera de los siguientes:
- Número de Seguro Social
- Número de licencia de conducir o número de identificación emitido por el gobierno
- Número de cuenta, número de tarjeta de crédito o de débito combinado con cualquier código de seguridad, código de acceso o contraseña requerida
- Datos biométricos
La información disponible públicamente y la información contenida en registros gubernamentales quedan excluidas de esta definición.
Cronograma de Notificación de Violaciones
Cuando una violación de seguridad compromete datos biométricos u otra información personal identificable, la organización debe notificar a los residentes afectados de Nuevo México "en el tiempo más expedito posible, pero a más tardar cuarenta y cinco días calendario después del descubrimiento de la violación de seguridad", conforme a N.M. Stat. Ann. 57-12C-6.
El plazo de 45 días comienza en el momento del descubrimiento, no en el momento en que realmente ocurrió la violación. Esta distinción es importante porque las violaciones a menudo se detectan semanas o meses después de la intrusión inicial.
Qué Debe Incluir la Notificación
Los avisos escritos enviados a las personas afectadas deben contener información específica bajo la Ley:
- El nombre e información de contacto de la entidad que reporta la violación
- Una lista de los tipos de información personal identificable que se cree que fueron comprometidos
- La fecha de la violación de seguridad o el rango de fechas estimado
- Una descripción general del incidente de la violación
- Números telefónicos gratuitos y direcciones de las principales agencias de informes al consumidor
- Recomendaciones para revisar los estados de cuenta personales y los informes crediticios en busca de actividad inusual
- Información sobre los derechos de la persona conforme a la Ley Federal de Informe Justo de Crédito (Fair Credit Reporting Act)
Notificación al Fiscal General
Conforme a N.M. Stat. Ann. 57-12C-10, cuando una violación afecta a más de 1,000 residentes de Nuevo México, la organización también debe notificar al Fiscal General de Nuevo México y a las principales agencias de informes crediticios dentro de los 45 días calendario. La notificación al Fiscal General debe incluir el número de residentes que recibieron avisos de la violación y una copia de la notificación enviada a las personas afectadas.
Excepción por Umbral de Daño
No se requiere notificación si, tras una investigación apropiada, la organización determina que la violación de seguridad no genera un riesgo significativo de robo de identidad o fraude. Las organizaciones que se basen en esta excepción deben documentar minuciosamente su investigación y razonamiento, ya que el Fiscal General podría cuestionar posteriormente esa determinación.
Exenciones Bajo la Ley
Dos categorías de entidades están completamente exentas de los requisitos de la Ley de Notificación de Violaciones de Datos:
Entidades cubiertas por la GLBA. Las instituciones financieras que cumplen con las disposiciones de seguridad de datos y notificación de violaciones de la Ley Gramm-Leach-Bliley no necesitan seguir los procedimientos de notificación separados de Nuevo México.
Entidades cubiertas por HIPAA. Los proveedores de atención médica, planes de salud y cámaras de compensación de atención médica que cumplen con los requisitos de notificación de violaciones de la Health Insurance Portability and Accountability Act también están exentos.
Estas exenciones reconocen que la ley federal ya impone obligaciones de notificación de violaciones a estas industrias. Sin embargo, las organizaciones deben verificar que realmente estén cumpliendo con los requisitos federales aplicables, y no simplemente que pertenecen a la industria regulada.
Puerto Seguro de Cifrado
La Ley no se aplica a las violaciones que involucren información personal identificable que estuviera cifrada, redactada o de otro modo hecha ilegible al momento de la violación. Este puerto seguro (safe harbor) se aplica siempre que la clave de cifrado en sí no también haya sido comprometida en el incidente.
Las organizaciones que cifran los datos biométricos tanto en reposo como en tránsito obtienen una protección significativa frente a las obligaciones de notificación bajo esta disposición.
Aplicación de la Ley y Sanciones
Autoridad del Fiscal General
El Fiscal General de Nuevo México tiene autoridad exclusiva de aplicación sobre la Ley de Notificación de Violaciones de Datos. Conforme a N.M. Stat. Ann. 57-12C-11, cuando el Fiscal General tiene una creencia razonable de que ha ocurrido una violación, la oficina puede iniciar una acción en nombre de las personas afectadas y en nombre del estado.
Sanciones Civiles
Los tribunales pueden imponer sanciones civiles del monto mayor entre $25,000 o $10 por cada instancia de notificación fallida, hasta un máximo de $150,000, cuando una persona o entidad infringe la Ley de manera consciente o imprudente. El Fiscal General también puede solicitar medidas cautelares y daños por los costos y pérdidas reales sufridos por las personas afectadas.
Sin Derecho de Acción Privado
Los residentes de Nuevo México no pueden presentar demandas privadas bajo la Ley de Notificación de Violaciones de Datos. Solo el Fiscal General puede promover acciones de aplicación. Esto limita el riesgo de litigio para las organizaciones en comparación con estados como Illinois, donde las personas pueden demandar directamente bajo la BIPA y recuperar daños estatutarios.
Sin embargo, las personas aún pueden tener reclamos bajo la Ley de Prácticas Injustas de Nuevo México (Unfair Practices Act) (N.M. Stat. Ann. 57-12-1 y siguientes) si el manejo de datos biométricos por parte de una empresa implica prácticas comerciales engañosas o desmedidas.
Uso de Datos Biométricos por Parte de Empleadores
La ley de Nuevo México no impone requisitos específicos a los empleadores que recolectan datos biométricos de los trabajadores. No existe un mandato a nivel estatal que exija a los empleadores:
- Obtener consentimiento por escrito antes de recolectar huellas dactilares o escaneos faciales
- Proporcionar una política de retención de datos biométricos
- Limitar el tiempo durante el cual se almacenan los datos biométricos
- Destruir los datos biométricos después de un período determinado o cuando finaliza la relación laboral
Los empleadores que utilizan relojes de tiempo biométricos, escáneres de huellas dactilares para el acceso a instalaciones o sistemas de reconocimiento facial deben, no obstante, implementar medidas de seguridad razonables para proteger estos datos. Una violación de la información biométrica de un empleado activa la misma obligación de notificación de 45 días que cualquier otra violación de información personal identificable bajo la Ley.
Legislación Pendiente y Perspectivas Futuras
Los legisladores de Nuevo México han presentado varios proyectos de ley sobre privacidad en sesiones recientes que, de aprobarse, ampliarían las protecciones de datos biométricos.
Ley de Privacidad y Seguridad en Internet (HB 307, 2025)
El Proyecto de Ley 307 de la Cámara (House Bill 307) de la sesión de 2025 propuso protecciones integrales de privacidad del consumidor. El proyecto definía los datos biométricos de manera amplia como "datos sobre un consumidor generados por mediciones de las características biológicas únicas del consumidor, como una huella facial, una huella dactilar, una huella de voz, o una imagen de retina o iris". El proyecto habría clasificado los datos biométricos como datos personales sensibles, prohibido su uso para publicidad dirigida, exigido consentimiento previo (opt-in) para su procesamiento e impuesto sanciones civiles de hasta $7,500 por violación intencional, con derecho de acción privado. El proyecto no se convirtió en ley durante la sesión de 2025.
Ley de Seguridad y Privacidad de la Información Comunitaria y de Salud (SB 53, 2026)
El Proyecto de Ley 53 del Senado (Senate Bill 53), conocido como CHISPA, se presentó en enero de 2026. Incluía una definición amplia similar de datos biométricos y buscaba hacer de la privacidad en línea la opción predeterminada, exigiendo consentimiento previo (opt-in) para la recolección de datos. A pesar de recibir una recomendación de "Aprobación" (Do Pass) por parte del Comité de Salud y Asuntos Públicos del Senado el 5 de febrero de 2026, el proyecto fue pospuesto indefinidamente y no avanzó más.
Ley de Transparencia en Inteligencia Artificial (HB 28, 2026)
El Proyecto de Ley 28 de la Cámara (House Bill 28) de la sesión de 2026 abordó los sistemas de IA que toman decisiones consecuentes, pero no reguló directamente la recolección de datos biométricos; al igual que el SB 53, fue pospuesto indefinidamente y no avanzó cuando terminó la sesión. Se enfoca en la transparencia y la rendición de cuentas en la toma de decisiones automatizada en el empleo, los servicios financieros, la atención médica y otras áreas.
Qué Significa Esto de Cara al Futuro
La reiterada presentación de proyectos de ley de privacidad con disposiciones biométricas señala un interés legislativo creciente en esta área. Nuevo México podría eventualmente adoptar una ley integral de privacidad del consumidor que incluya protecciones dedicadas de datos biométricos. Hasta entonces, la Ley de Notificación de Violaciones de Datos sigue siendo la principal salvaguarda.
Cómo se Compara Nuevo México con Otros Estados
Nuevo México forma parte de un grupo de estados que protegen los datos biométricos únicamente mediante requisitos de notificación de violaciones, sin un estatuto dedicado de privacidad biométrica ni una ley integral de privacidad del consumidor. Esto lo coloca por detrás de estados con protecciones más sólidas:
| Nivel de Protección | Estados |
|---|---|
| Estatuto dedicado de privacidad biométrica | Illinois, Texas, Washington |
| Ley integral de privacidad que cubre datos biométricos | California, Colorado, Connecticut, Virginia |
| Solo notificación de violaciones (como Nuevo México) | Arkansas, Nebraska, Carolina del Norte |
La diferencia clave es que los estados con leyes dedicadas de privacidad biométrica o leyes integrales de privacidad regulan de manera proactiva la recolección y el uso de datos biométricos, mientras que la ley de Nuevo México solo aborda lo que ocurre después de que se produce una violación.
Más Leyes de Nuevo México
- Leyes de Grabación de Reuniones con IA de Nuevo México
- Leyes de Pensión Conyugal de Nuevo México
- Leyes de Empleo a Voluntad de Nuevo México
- Leyes de Accidentes Automovilísticos de Nuevo México
- Leyes de Sillas de Auto para Niños de Nuevo México
- Leyes de Custodia de Menores de Nuevo México
- Leyes de Manutención Infantil de Nuevo México
- Leyes de Matrimonio de Hecho de Nuevo México
- Leyes sobre Deepfakes de Nuevo México
- Leyes de Divorcio de Nuevo México
- Leyes sobre Mordeduras de Perro de Nuevo México
- Leyes de Emancipación de Nuevo México
- Leyes de Eliminación de Antecedentes Penales de Nuevo México
- Leyes sobre Accidentes con Fuga de Nuevo México
- Leyes de Propietarios e Inquilinos de Nuevo México
- Leyes del Limón de Nuevo México
Este artículo ofrece información legal general sobre las leyes de privacidad biométrica de Nuevo México y no constituye asesoría legal. Los estatutos y las regulaciones cambian con el tiempo. Consulte a un abogado calificado con licencia en Nuevo México para obtener orientación sobre su situación específica.
Preguntas frecuentes
¿Nuevo México exige consentimiento antes de recolectar datos biométricos?
No. Nuevo México no tiene una ley que exija a las empresas o empleadores obtener consentimiento antes de recolectar huellas dactilares, escaneos faciales u otros datos biométricos. La Ley de Notificación de Violaciones de Datos del estado solo exige notificación después de una violación, no consentimiento antes de la recolección.
¿Qué sucede si una empresa no notifica a los residentes sobre una violación de datos biométricos en Nuevo México?
El Fiscal General de Nuevo México puede iniciar una acción de aplicación contra la empresa. Los tribunales pueden imponer sanciones civiles del monto mayor entre $25,000 o $10 por cada instancia de notificación fallida, hasta un límite de $150,000, por violaciones cometidas de forma consciente o imprudente de la Ley de Notificación de Violaciones de Datos, además de medidas cautelares y daños por los costos y pérdidas reales sufridos por las personas afectadas.
¿Los empleadores en Nuevo México están obligados a tener una política de retención de datos biométricos?
No. La ley de Nuevo México no exige que los empleadores mantengan una política escrita de retención de datos biométricos, establezcan un cronograma de destrucción ni sigan procedimientos específicos para eliminar la información biométrica. Sin embargo, los empleadores deben implementar medidas de seguridad razonables para proteger estos datos.
¿Pueden las personas demandar por el mal uso de datos biométricos en Nuevo México?
No bajo la Ley de Notificación de Violaciones de Datos, que no otorga derecho de acción privado. Solo el Fiscal General puede hacer cumplir ese estatuto. Sin embargo, las personas pueden tener reclamos bajo la Ley de Prácticas Injustas de Nuevo México (N.M. Stat. Ann. 57-12-1 y siguientes) si el manejo de datos biométricos por parte de una empresa implica prácticas comerciales engañosas o desmedidas.
¿La ley de datos biométricos de Nuevo México se aplica a proveedores de atención médica y bancos?
Las entidades cubiertas por HIPAA (proveedores de atención médica, planes de salud, cámaras de compensación) y las entidades sujetas a la Ley Gramm-Leach-Bliley (instituciones financieras) están exentas de la Ley de Notificación de Violaciones de Datos de Nuevo México, siempre que cumplan con los requisitos de notificación de violaciones bajo esas leyes federales.
¿Afectado por una filtración de datos o una violación de privacidad biométrica?
Si sus datos personales quedaron expuestos en una filtración, o si su huella dactilar o escaneo facial se recopiló sin su consentimiento, podría ser elegible para unirse a un reclamo por compensación. Averígüelo gratis y sin compromiso.
Actualizaciones
Verificado de forma independiente contra las fuentes primarias citadas
Se corrigió la descripción de la sanción civil: la Ley de Notificación de Violaciones de Datos establece la sanción en el monto mayor entre $25,000 o $10 por cada instancia de notificación fallida, hasta un límite de $150,000, no una cifra fija de $25,000 (corregido en KeyTakeaways, el cuerpo del artículo y las preguntas frecuentes).
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en 6 disposiciones legales conservadas en nuestro propio registro jurídico, cada una obtenida de la fuente oficial. Toque una sección para leer el texto vigente.
New Mexico Statutes Annotated 1978, Chapter 57
§ 57-12-1Short titleVigentecitada en 7 de nuestros artículos
Chapter 57, Article 12 NMSA 1978 may be cited as the "Unfair Practices Act".
Texto oficial (extracto) · al 2026-07-30 · Lea la sección completa en nmonesource.com
Citada en 239 opiniones judicialesAplicada por un tribunal por última vez: 2026
Casos destacados: Romero v. Philip Morris Inc. (New Mexico Supreme Court 2010, 148 N.M. 713) · Cordova v. World Finance Corp. of NM (New Mexico Supreme Court 2009, 146 N.M. 256) · Quynh Truong v. Allstate Insurance (New Mexico Supreme Court 2010, 147 N.M. 583)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
También citada en: Leyes de Privacidad de Datos de Nuevo México: Notificación de Violaciones, Aplicación de la Fiscalía General y Legislación 2026, Ley del Limón de Nuevo México (2026): Cómo Calificar y Obtener un Reembolso
§ 57-12C-1Short titleVigentecitada en 6 de nuestros artículos
This act [57-12C-1 to 57-12C-12 NMSA 1978] may be cited as the "Data Breach Notification Act".
Texto oficial (extracto) · al 2026-07-30 · Lea la sección completa en nmonesource.com
Citada en 1 opiniones judicialesAplicada por un tribunal por última vez: 2022
Casos destacados: Charlie v. Rehoboth McKinley Christian Health Care Services (District Court, D. New Mexico 2022)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
También citada en: Leyes de Notificación de Violaciones de Datos de Nuevo México: Reglas y Plazos de Reporte (2026)
§ 57-12C-10Notification to attorney general and credit reporting agencies.Vigentecitada en 4 de nuestros artículos
A person that is required to issue notification of a security breach pursuant to the Data Breach Notification Act to more than one thousand New Mexico residents as a result of a single security breach shall notify the office of the attorney general and major consumer reporting agencies that compile and maintain files on consumers on a nationwide basis, as defined in 15 U.S.C. Section 1681a(p), of the security breach in the most expedient time possible, and no later than forty-five calendar days, except as provided in Section 9 [57-12C-9 NMSA 1978] of the Data Breach Notification Act. A person required to notify the attorney general and consumer reporting agencies pursuant to this section shall notify the attorney general of the number of New Mexico residents that received notification pursuant to Section 6 of that act [57-12C-6 NMSA 1978] and shall provide a copy of the notification that was sent to affected residents within forty-five calendar days following discovery of the security breach, except as provided in Section 9 of the Data Breach Notification Act.
Texto oficial (extracto) · al 2026-07-30 · Lea la sección completa en nmonesource.com
Referencias cruzadas en el propio texto legal: § 57-12C-6
§ 57-12C-11Attorney general enforcement; civil penaltyVigentecitada en 4 de nuestros artículos
A. When the attorney general has a reasonable belief that a violation of the Data Breach Notification Act has occurred, the attorney general may bring an action on the behalf of individuals and in the name of the state alleging a violation of that act. B. In any action filed by the attorney general pursuant to the Data Breach Notification Act, the court may: (1) issue an injunction; and (2) award damages for actual costs or losses, including consequential financial losses. C. If the court determines that a person violated the Data Breach Notification Act knowingly or recklessly, the court may impose a civil penalty of the greater of twenty- five thousand dollars ($25,000) or, in the case of failed notification, ten dollars ($10.00) per instance of failed notification up to a maximum of one hundred fifty thousand dollars ($150,000).
Texto oficial (extracto) · al 2026-07-30 · Lea la sección completa en nmonesource.com
§ 57-12C-2DefinitionsVigentecitada en 4 de nuestros artículos
As used in the Data Breach Notification Act: A. "biometric data" means a record generated by automatic measurements of an identified individual's fingerprints, voice print, iris or retina patterns, facial characteristics or hand geometry that is used to uniquely and durably authenticate an individual's identity when the individual accesses a physical location, device, system or account; B. "encrypted" means rendered unusable, unreadable or indecipherable to an unauthorized person through a security technology or methodology generally accepted in the field of information security; C.
Texto oficial (extracto) · al 2026-07-30 · Lea la sección completa en nmonesource.com
§ 57-12C-6Notification of security breachVigentecitada en 4 de nuestros artículos
A. Except as provided in Subsection C of this section, a person that owns or licenses elements that include personal identifying information of a New Mexico resident shall provide notification to each New Mexico resident whose personal identifying information is reasonably believed to have been subject to a security breach. Notification shall be made in the most expedient time possible, but not later than forty- five calendar days following discovery of the security breach, except as provided in Section 9 [57-12C-9 NMSA 1978] of the Data Breach Notification Act. B. Notwithstanding Subsection A of this section, notification to affected New Mexico residents is not required if, after an appropriate investigation, the person determines that the security breach does not give rise to a significant risk of identity theft or fraud. C.
Texto oficial (extracto) · al 2026-07-30 · Lea la sección completa en nmonesource.com
Explore la ley
Las leyes citadas arriba hacen referencia a estas secciones relacionadas en su propio texto:
- New Mexico Statutes Annotated 1978, Chapter 57 § 57-12C-12 — State of New Mexico and political subdivisions exempted. ver en nuestro registro legal · leer en la fuente oficial
- New Mexico Statutes Annotated 1978, Chapter 57 § 57-12C-9 — Delayed notification ver en nuestro registro legal · leer en la fuente oficial
Leyes relacionadas para lectura adicional; no forman parte de las citas de este artículo.
Fuentes y referencias
- Ley de Notificación de Violaciones de Datos de Nuevo México (HB 15, 2017)(nmlegis.gov).gov
- N.M. Stat. Ann. 57-12C-2 Definiciones(law.justia.com)
- N.M. Stat. Ann. 57-12C-6 Notificación de Violación de Seguridad(law.justia.com)
- N.M. Stat. Ann. 57-12C-10 Notificación al Fiscal General y Agencias de Informes Crediticios(law.justia.com)
- N.M. Stat. Ann. 57-12C-11 Aplicación por el Fiscal General (Ley de Notificación de Violaciones de Datos, texto promulgado de HB 15)(nmlegis.gov).gov
- Ley de Privacidad y Seguridad en Internet (HB 307, 2025)(nmlegis.gov).gov
- Ley de Seguridad y Privacidad de la Información Comunitaria y de Salud (SB 53, 2026)(nmlegis.gov).gov
- Ley de Transparencia en Inteligencia Artificial (HB 28, 2026)(nmlegis.gov).gov
- Ley Gramm-Leach-Bliley(ftc.gov).gov
- HIPAA(hhs.gov).gov
- Ley de Prácticas Injustas de Nuevo México(law.justia.com)