Leyes de Privacidad Biométrica de Nueva York: Recopilación, Consentimiento y Sanciones (2026)

Nueva York regula los datos biométricos mediante un marco escalonado en lugar de una sola ley estatal. La Ley SHIELD exige notificación de violaciones y seguridad razonable de datos para la información biométrica, mientras que la Ley Local 3 de 2021 de la Ciudad de Nueva York exige señalización de divulgación y prohíbe a los establecimientos comerciales vender datos de identificadores biométricos.

Nueva York ha construido un enfoque escalonado para la protección de la privacidad biométrica. Ningún estatuto único cubre todo el panorama. En su lugar, una combinación de ley estatal, ordenanza municipal, regulación financiera, ley laboral y reglas del sector escolar crea obligaciones superpuestas para las empresas que recopilan huellas dactilares, escaneos de geometría facial, imágenes de retina u otros datos biométricos.

Para las empresas que operan en Nueva York, comprender cada capa es fundamental. Una empresa en Manhattan enfrenta reglas diferentes a una en Buffalo, y un banco enfrenta requisitos más estrictos que una tienda minorista. Esta guía recorre cada ley aplicable para que usted sepa exactamente qué se aplica a su situación.

La Ley SHIELD: El Fundamento de Nueva York para la Protección de Datos Biométricos

La Ley para Detener los Hackeos y Mejorar la Seguridad de los Datos Electrónicos (Ley SHIELD), firmada el 25 de julio de 2019, forma la columna vertebral de las protecciones de datos biométricos de Nueva York. Codificada en las Secciones 899-aa y 899-bb de la Ley General de Negocios (GBL), la Ley SHIELD amplió la ley existente de notificación de violaciones del estado para incluir la información biométrica bajo su alcance.

Qué Cubre la Ley SHIELD

Antes de la Ley SHIELD, la ley de notificación de violaciones de datos de Nueva York se aplicaba únicamente a identificadores personales tradicionales como los números de Seguro Social y los números de cuentas financieras. La Ley SHIELD agregó varias categorías nuevas de datos protegidos, incluida la información biométrica.

Bajo la GBL 899-aa, la "información privada" ahora incluye:

• Información biométrica (huellas dactilares, huellas de voz, imágenes de retina o iris, y otras medidas físicas únicas)
• Números de Seguro Social
• Números de licencia de conducir
• Números de cuentas financieras
• Nombre de usuario o dirección de correo electrónico combinado con una contraseña o pregunta de seguridad
• Información médica y de seguro médico (agregada por la enmienda de diciembre de 2024)

La Regla de Notificación de Violaciones en 30 Días

En diciembre de 2024, la gobernadora Kathy Hochul firmó una enmienda a la GBL 899-aa que reemplazó el antiguo estándar de "el tiempo más expedito posible" con un plazo firme de 30 días. Las empresas que sufran una violación que involucre datos biométricos ahora deben notificar a los residentes de Nueva York afectados dentro de los 30 días posteriores al descubrimiento de la violación.

La notificación al Fiscal General de Nueva York, al Departamento de Estado y a la División de la Policía Estatal ya era obligatoria antes de esta enmienda. Lo que la enmienda agregó a esa lista fue el Departamento de Servicios Financieros, al cual debe notificarse cuando la empresa que reporta es una entidad cubierta según la definición de 23 NYCRR 500.1.

Requisito de Salvaguardas Razonables

La GBL 899-bb exige que toda persona o empresa que posea u otorgue licencias de información privada, incluidos los datos biométricos, desarrolle, implemente y mantenga salvaguardas razonables. Estas salvaguardas se dividen en tres categorías:

Las salvaguardas administrativas incluyen designar a uno o más empleados para coordinar el programa de seguridad, identificar riesgos internos y externos razonablemente previsibles, capacitar a los empleados en prácticas de seguridad y evaluar a los proveedores de servicios.

Las salvaguardas técnicas incluyen evaluar riesgos en el diseño de red y software, monitorear sistemas contra acceso no autorizado, detectar y responder a ataques, y probar regularmente la efectividad del sistema.

Las salvaguardas físicas incluyen evaluar riesgos en el almacenamiento y disposición de datos, prevenir el acceso físico no autorizado, y desechar adecuadamente la información para que no pueda leerse ni reconstruirse.

Acomodación para Pequeñas Empresas

La Ley SHIELD reconoce que las organizaciones más pequeñas tienen menos recursos. Una empresa califica para la acomodación de pequeñas empresas si tiene menos de 50 empleados, menos de $3 millones en ingresos brutos anuales en cada uno de los últimos tres ejercicios fiscales, o menos de $5 millones en activos totales al cierre del año. Las pequeñas empresas aún deben implementar salvaguardas razonables, pero esas salvaguardas se evalúan según el tamaño y la complejidad de la empresa.

Sanciones de la Ley SHIELD

El Fiscal General de Nueva York aplica la Ley SHIELD. Las sanciones incluyen:

• Cuando un tribunal determine que la violación fue intencional o imprudente, una sanción civil equivalente al mayor entre $5,000 o hasta $20 por cada notificación fallida, con ese monto por instancia limitado a $250,000
• Hasta $5,000 por violación por no mantener salvaguardas razonables
• Medidas cautelares y restitución

La Ley SHIELD no crea un derecho de acción privado. Solo el Fiscal General puede iniciar acciones de aplicación.

Ley Local 3 de NYC: Reglas Biométricas para Establecimientos Comerciales

La Ciudad de Nueva York promulgó la Ley Local 3 de 2021, que entró en vigor el 9 de julio de 2021. Esta ordenanza a nivel municipal va significativamente más allá de la Ley SHIELD al exigir un aviso afirmativo a los clientes y crear un derecho de acción privado.

Quién Debe Cumplir

La Ley Local 3 se aplica a "establecimientos comerciales" dentro de la Ciudad de Nueva York, definidos como:

• Lugares de entretenimiento (teatros, arenas, salas de conciertos, estadios)
• Tiendas minoristas
• Establecimientos de comida y bebida (restaurantes, bares, cafeterías)

La ley no se aplica a agencias gubernamentales ni a instituciones financieras reguladas por ley estatal o federal.

Definición de Información de Identificador Biométrico

Bajo la Ley Local 3, "información de identificador biométrico" significa una característica fisiológica, biológica o conductual utilizada para identificar o ayudar a identificar a una persona. Esto incluye:

• Escaneos de retina o iris
• Huellas dactilares
• Huellas de voz
• Escaneos de geometría de mano, palma o rostro
• Patrones de marcha o movimiento

El Requisito de Señalización

Todo establecimiento comercial que recopile, retenga, convierta, almacene o comparta información de identificador biométrico debe colocar un cartel claro y visible cerca de todas las entradas de clientes. El cartel debe estar en un lenguaje sencillo y simple, notificando a los clientes que se están recopilando datos biométricos.

El Departamento de Protección al Consumidor y al Trabajador de NYC (DCWP) proporciona un cartel de divulgación estandarizado que las empresas pueden descargar y exhibir.

Prohibición de Venta de Datos Biométricos

La Ley Local 3 prohíbe a cualquier establecimiento comercial vender, arrendar, comerciar o compartir información de identificador biométrico a cambio de algo de valor. Esta es una prohibición absoluta sin excepciones.

Derecho de Acción Privado y Daños

A diferencia de la Ley SHIELD, la Ley Local 3 otorga a las personas el derecho de demandar. Los daños incluyen:

• No colocar la señalización: $500 por violación (con un período de corrección de 30 días después de un aviso escrito)
• Venta o intercambio negligente de datos biométricos: $500 por violación
• Venta o intercambio intencional o imprudente: $5,000 por violación
• Los honorarios de abogados y costos son recuperables en todos los casos

Para las violaciones de señalización, la empresa tiene 30 días para corregir el problema después de recibir un aviso escrito. Si la empresa corrige la violación dentro de ese plazo, no puede proceder ninguna demanda. Para las violaciones de la prohibición de venta, no hay período de corrección, y las personas pueden presentar una demanda de inmediato.

Aplicación en la Práctica

El uso de reconocimiento facial por parte del Madison Square Garden se ha convertido en la prueba más destacada de la privacidad biométrica en la Ciudad de Nueva York. En junio de 2026, los visitantes presentaron una demanda colectiva alegando que una filtración de datos expuso información biométrica y de verificación de antecedentes recopilada de aproximadamente 26 millones de personas a través de los sistemas de reconocimiento facial y vigilancia del recinto. Por separado, los legisladores estatales y municipales han renovado un esfuerzo legislativo conocido como "Ban the Scan" (Prohibir el Escaneo) para restringir el uso de reconocimiento facial en el MSG y otros recintos.

La Ley de Privacidad Biométrica de NY Pendiente (S1422/A6031)

El cambio propuesto más significativo al panorama de privacidad biométrica de Nueva York es la Ley de Privacidad Biométrica de NY, introducida en la sesión legislativa 2025-2026 como el Proyecto de Ley del Senado S1422 (patrocinado por el senador Liu) y el Proyecto de Ley de la Asamblea A6031. El proyecto de ley está modelado de cerca según la Ley de Privacidad de Información Biométrica (BIPA) de Illinois, que ha generado miles de millones de dólares en acuerdos desde su aprobación.

Estado Actual

Hasta junio de 2026, el Senado aprobó el S1422A por una votación de 41-20 el 3 de junio de 2026, y remitió el proyecto de ley a la Asamblea. Su proyecto complementario, ahora A6031A, permanece en el Comité de Asuntos y Protección del Consumidor de la Asamblea, donde fue enmendado y recomprometido por última vez el 11 de mayo de 2026. La Asamblea aún no ha realizado una votación en el pleno.

Los legisladores de Nueva York han presentado versiones de este proyecto de ley en múltiples sesiones anteriores (incluyendo S4457 en 2023 y A27 en 2021) sin ser aprobadas, pero la creciente atención nacional a la privacidad biométrica y el éxito de los litigios de la BIPA de Illinois continúan generando impulso.

Qué Exigiría el Proyecto de Ley

Si se promulga, la Ley de Privacidad Biométrica de NY crearía el Artículo 32-A de la Ley General de Negocios e impondría los siguientes requisitos a las entidades privadas:

Política escrita de retención y destrucción. Toda entidad privada que posea identificadores biométricos o información biométrica debe desarrollar una política escrita, disponible públicamente, que establezca un cronograma de retención y pautas para su destrucción permanente. Según la enmienda, el proyecto de ley exige la destrucción dentro de un plazo razonable, pero no más tarde de 60 días, después de que se haya cumplido el propósito de recopilación, o dentro de un año posterior a la última interacción de la persona con la entidad, lo que ocurra primero.

Consentimiento por escrito antes de la recopilación. Ninguna entidad puede recopilar, capturar, comprar o intercambiar los datos biométricos de una persona a menos que primero informe a la persona por escrito y reciba su consentimiento por escrito.

Prohibición de venta. Las entidades no pueden vender, arrendar, comerciar ni obtener ganancias de identificadores biométricos o información biométrica.

Estándares de seguridad. Las entidades deben almacenar, transmitir y proteger los datos biométricos utilizando el estándar razonable de cuidado dentro de su industria. Las protecciones deben ser al menos tan sólidas como las utilizadas para otra información confidencial y sensible.

Definiciones Bajo el Proyecto de Ley

Según la enmienda, el proyecto de ley define "identificador biométrico" como los datos generados al medir o analizar las características biológicas o conductuales de una persona, tales como una huella facial, huella dactilar, huella de voz, patrón de marcha, imagen de retina o iris, o ADN, que puedan usarse para el reconocimiento automatizado de una persona específica.

Excluidos de esta definición están las muestras de escritura, las firmas escritas, las fotografías, los datos demográficos, las descripciones de tatuajes, las descripciones físicas, los órganos y tejidos donados, la sangre y el suero almacenados para trasplantes, y las imágenes médicas e información de atención médica.

"Información biométrica" se define como cualquier información, sin importar cómo se capture, convierta, almacene o comparta, basada en el identificador biométrico de una persona utilizado para identificarla.

Derecho de Acción Privado y Daños

El proyecto de ley crearía un derecho de acción privado que permitiría a las personas demandar directamente en la Corte Suprema. Una parte ganadora podría recuperar:

• Violaciones negligentes: Daños liquidados de $1,000 o daños reales, lo que sea mayor
• Violaciones intencionales o imprudentes: Daños liquidados de $5,000 o daños reales, lo que sea mayor
• Honorarios de abogados y costos, incluidos honorarios de testigos expertos
• Medidas cautelares según lo considere apropiado el tribunal

Este derecho de acción privado es lo que distingue al proyecto de ley propuesto de la Ley SHIELD existente y convertiría a Nueva York en uno de los pocos estados que permite a las personas demandar por violaciones de privacidad biométrica.

Sección 201-a de la Ley Laboral de Nueva York: Toma de Huellas Dactilares a Empleados

La Sección 201-a de la Ley Laboral de Nueva York es anterior a las preocupaciones modernas sobre la privacidad biométrica, pero sigue siendo directamente relevante. El estatuto establece una regla sencilla: a ninguna persona, como condición para obtener o continuar su empleo, se le puede exigir que se le tomen las huellas dactilares.

Excepciones Limitadas

La Sección 201-a excluye categorías enteras de empleadores por sus propios términos. Según su texto, la prohibición "no aplicará a los empleados del estado o de cualquier subdivisión o departamento municipal, ni a los empleados de hospitales legalmente incorporados, sostenidos total o parcialmente con fondos públicos o donaciones privadas, ni a los empleados de colegios médicos afiliados a dichos hospitales, ni a los empleados de hospitales privados con fines de lucro." Por lo tanto, los empleados estatales y municipales y los empleados de hospitales quedan fuera del alcance del estatuto por completo, exijan o no otra ley que se les tomen las huellas dactilares.

Más allá de esas exclusiones expresas, la prohibición aplica "salvo que la ley disponga lo contrario", por lo que la toma de huellas dactilares también se permite cuando otra ley estatal o federal específicamente lo exige. Los ejemplos comunes incluyen:

• Oficiales de aplicación de la ley
• Empleados de ciertas instituciones financieras (bajo regulaciones bancarias federales)
• Trabajadores de la salud en entornos específicos
• Trabajadores de cuidado infantil (bajo la Ley de Servicios Sociales)
• Empleados escolares (bajo la Ley de Educación)
• Guardias de seguridad (bajo la Ley General de Negocios)

Impacto Práctico para los Empleadores

Esta ley significa que la mayoría de los empleadores de Nueva York no pueden exigir sistemas de control de horario basados en huellas dactilares como condición obligatoria de empleo. Los empleadores pueden ofrecer el escaneo de huellas dactilares de manera voluntaria, y algunos han recurrido al escaneo de geometría de mano (que mide la forma y las dimensiones de la mano sin capturar una huella dactilar) como alternativa que queda fuera del alcance del estatuto.

Ley de Tecnología Estatal 106-b: Datos Biométricos en las Escuelas

La Sección 106-b de la Ley de Tecnología Estatal de Nueva York es el único estatuto de Nueva York promulgado que trata específicamente sobre datos biométricos. Se aplica a las escuelas y no a las empresas en general, pero cualquier organización que opere o contrate con una escuela necesita saber que existe.

El estatuto define "tecnología de identificación biométrica" como cualquier herramienta que utilice un proceso automatizado o semiautomatizado que ayude a verificar la identidad de una persona a partir de información biométrica, y define "información biométrica" de manera amplia para incluir huellas dactilares, huellas de la mano, patrones de retina e iris, secuencia de ADN, voz, marcha y geometría facial.

La Prohibición

Las escuelas primarias y secundarias públicas y privadas, incluidas las escuelas chárter, tienen prohibido comprar o utilizar tecnología de identificación biométrica para cualquier propósito, incluida la seguridad escolar, hasta el 1 de julio de 2022 o hasta que el Comisionado de Educación autorice dicha compra o utilización, lo que ocurra más tarde. Debido a que la autorización del Comisionado es la condición que ocurre más tarde entre las dos, la prohibición se extiende hasta que se otorgue esa autorización, y el estatuto impide que el Comisionado la otorgue antes de que el director de la oficina de servicios de tecnología de la información emita primero un informe público que evalúe las implicaciones de privacidad, derechos civiles y precisión de la tecnología.

Las Dos Excepciones

La Sección 106-b permite a las escuelas usar tecnología de identificación biométrica únicamente en dos situaciones:

• Identificación por huellas dactilares de futuros empleados escolares, cuando se use para cumplir con la Ley de Educación o los reglamentos del Comisionado de Educación
• Identificación de empleados que hayan dado su consentimiento por escrito, o cuya organización de empleados haya dado su consentimiento por escrito cuando el empleado esté representado bajo el Artículo 14 de la Ley de Servicio Civil

Tenga en cuenta que ambas excepciones se refieren a empleados. Ninguna autoriza la identificación biométrica de estudiantes.

Regulación de Ciberseguridad del NYDFS (23 NYCRR 500)

La Regulación de Ciberseguridad del Departamento de Servicios Financieros de Nueva York se aplica a bancos, compañías de seguros y otras entidades de servicios financieros con licencia en Nueva York. Bajo el 23 NYCRR 500, los registros biométricos entran dentro de la definición de "información no pública" que las entidades cubiertas deben proteger.

Requisitos Clave para Datos Biométricos

Las instituciones financieras deben mantener un programa de ciberseguridad que proteja la confidencialidad, integridad y disponibilidad de sus sistemas de información, incluidos aquellos que almacenan registros biométricos.

Desde el 1 de noviembre de 2024, un año después de la fecha de entrada en vigor de la Segunda Enmienda del 1 de noviembre de 2023, las entidades cubiertas ya no pueden transmitir información no pública sin cifrar (incluidos los datos biométricos) a través de redes externas. La Segunda Enmienda eliminó la opción de sustituir el cifrado en tránsito por controles compensatorios aprobados por el CISO, por lo que los datos biométricos que se transmiten a través de redes externas ahora deben estar cifrados.

Las entidades reguladas por el NYDFS también deben designar a un Director de Seguridad de la Información, realizar pruebas de penetración y evaluaciones de vulnerabilidad regulares, mantener registros de auditoría e implementar controles de acceso que limiten quién puede ver los registros biométricos.

Sanciones

El NYDFS puede imponer sanciones civiles monetarias por violaciones del 23 NYCRR 500. En casos graves, el NYDFS tiene la autoridad de revocar o suspender la licencia de una empresa para operar en Nueva York.

Obligaciones del Empleador: Una Lista de Verificación Práctica

Los empleadores de Nueva York enfrentan requisitos de múltiples leyes superpuestas. Esto es lo que debe hacer según su ubicación e industria:

Todos los Empleadores de Nueva York

1. Cumplir con la Ley SHIELD implementando salvaguardas administrativas, técnicas y físicas razonables para cualquier dato biométrico que posea.
2. Notificar a las personas afectadas dentro de los 30 días si los datos biométricos se ven comprometidos en una violación, y reportar la violación al Fiscal General, al Departamento de Estado y a la División de la Policía Estatal, además del Departamento de Servicios Financieros si su empresa es una entidad cubierta por el NYDFS.
3. No exigir la toma de huellas dactilares como condición de empleo, a menos que una ley específica lo autorice o que su organización esté dentro de las exclusiones expresas del estatuto para empleadores públicos y hospitales (Ley Laboral 201-a).

Empleadores de la Ciudad de Nueva York que Operan Establecimientos Comerciales

4. Colocar el cartel de divulgación de identificador biométrico requerido en todas las entradas de clientes si recopila cualquier dato biométrico de los clientes.
5. Nunca vender, arrendar, comerciar ni compartir los datos biométricos de los clientes a cambio de algo de valor.

Empresas de Servicios Financieros

6. Cumplir con el 23 NYCRR 500 cifrando los datos biométricos en tránsito, manteniendo registros de auditoría y realizando evaluaciones de seguridad regulares.
7. Designar a un Director de Seguridad de la Información responsable de supervisar las protecciones de datos biométricos.

Todos los Empleadores que Usan Control de Horario Biométrico

8. Ofrecer alternativas no biométricas para los empleados que se nieguen a usar sistemas de huella dactilar o escaneo de mano.
9. Desarrollar una política escrita de retención y destrucción de datos para los registros biométricos.
10. No compartir datos biométricos con proveedores externos de control de horario sin un aviso claro y el consentimiento de los empleados.

Más Leyes de Nueva York

• Leyes de Grabación de Reuniones con IA de Nueva York
• Leyes de Pensión Conyugal de Nueva York
• Leyes de Empleo a Voluntad de Nueva York
• Leyes de Accidentes Automovilísticos de Nueva York
• Leyes de Sillas de Auto para Niños de Nueva York
• Leyes de Custodia de Menores de Nueva York
• Leyes de Manutención Infantil de Nueva York
• Leyes de Matrimonio de Hecho de Nueva York
• Leyes sobre Deepfakes de Nueva York
• Leyes de Divorcio de Nueva York
• Leyes sobre Mordeduras de Perro de Nueva York
• Leyes de Emancipación de Nueva York
• Leyes de Eliminación de Antecedentes Penales de Nueva York
• Leyes sobre Accidentes con Fuga de Nueva York
• Leyes de Propietarios e Inquilinos de Nueva York
• Leyes del Limón de Nueva York

Para una visión más amplia de las protecciones de privacidad de datos en Nueva York, consulte la guía principal sobre las Leyes de Privacidad de Datos de Nueva York.

Este artículo ofrece información legal general sobre las leyes de privacidad biométrica de Nueva York y está actualizado a agosto de 2026. No constituye asesoría legal. Consulte a un abogado con licencia en Nueva York para obtener orientación sobre su situación específica.

Preguntas frecuentes

¿Nueva York tiene una ley de privacidad biométrica similar a la BIPA de Illinois?

Todavía no a nivel estatal. Nueva York actualmente depende de la Ley SHIELD para la notificación de violaciones biométricas y la seguridad de datos, pero carece de un estatuto integral de privacidad biométrica con un derecho de acción privado. Sin embargo, la Ley de Privacidad Biométrica de NY pendiente (S1422/A6031), basada en la BIPA de Illinois, crearía uno si se aprueba. La Ciudad de Nueva York sí cuenta con la Ley Local 3 de 2021, que exige señalización de divulgación biométrica para establecimientos comerciales y permite demandas privadas.

¿Puede mi empleador en Nueva York exigirme que use un escáner de huellas dactilares para marcar mi entrada?

Depende de quién sea su empleador. La Sección 201-a de la Ley Laboral de Nueva York prohíbe a los empleadores exigir la toma de huellas dactilares como condición de empleo, pero el estatuto expresamente no se aplica a los empleados del estado o de cualquier subdivisión o departamento municipal, ni a los empleados de hospitales legalmente incorporados, colegios médicos afiliados u hospitales privados con fines de lucro. Esos trabajadores quedan fuera de la protección por completo. Para todos los demás, la toma de huellas dactilares sigue permitida cuando otra ley específicamente lo exige, como para la aplicación de la ley, ciertos empleados de instituciones financieras, y el personal de cuidado infantil o escolar. De lo contrario, los empleadores pueden ofrecer el escaneo de huellas dactilares de manera voluntaria o usar escáneres de geometría de mano, que miden la forma de la mano sin capturar una huella dactilar.

¿Cuáles son las sanciones por una violación de datos biométricos bajo la Ley SHIELD?

Cuando un tribunal determina que la violación fue intencional o imprudente, puede imponer una sanción civil equivalente al mayor entre $5,000 o hasta $20 por cada notificación fallida, con ese monto por instancia limitado a $250,000. Por separado, el Fiscal General de Nueva York puede buscar hasta $5,000 por violación por no mantener salvaguardas razonables de seguridad de datos, además de medidas cautelares y restitución. Las empresas deben notificar a las personas afectadas dentro de los 30 días posteriores al descubrimiento de la violación, según lo exige la enmienda de diciembre de 2024.

¿La ley biométrica de NYC se aplica a todos los negocios de la Ciudad de Nueva York?

No. La Ley Local 3 de 2021 de NYC se aplica únicamente a establecimientos comerciales, definidos como lugares de entretenimiento, tiendas minoristas y establecimientos de comida y bebida. No se aplica a agencias gubernamentales, instituciones financieras reguladas por ley estatal o federal, ni a negocios fuera de estas tres categorías, como empresas basadas en oficinas o proveedores de atención médica.

¿Qué cambiaría si se aprueba la Ley de Privacidad Biométrica de NY (S1422)?

El proyecto de ley crearía un marco estatal de privacidad biométrica que exigiría consentimiento por escrito antes de recopilar datos biométricos, políticas obligatorias de retención y destrucción, una prohibición de venta de datos biométricos, y un derecho de acción privado que permitiría a las personas demandar por $1,000 por violación negligente o $5,000 por violación intencional, además de honorarios de abogados. Esto fortalecería significativamente las protecciones más allá de la Ley SHIELD actual, que solo el Fiscal General puede hacer cumplir.