Leyes de Privacidad Biométrica de Pensilvania: Recopilación, Consentimiento y Sanciones (2026)

Pensilvania no cuenta con una ley independiente de privacidad biométrica. La Ley de Notificación de Violación de Información Personal (BPINA) no enumera explícitamente los identificadores biométricos en su definición de información personal, por lo que las protecciones son indirectas: la Ley de Prácticas Comerciales Desleales y Protección al Consumidor otorga al Fiscal General autoridad exclusiva para hacer cumplir las fallas en la notificación de violaciones, sin derecho de acción privado. Dos proyectos de ley que cambiarían esto siguen pendientes en la legislatura.

Pensilvania no cuenta con un estatuto dedicado a la privacidad biométrica. A diferencia de Illinois, que promulgó la Ley de Privacidad de Información Biométrica (BIPA) en 2008, y de Texas, que aprobó su Ley de Captura o Uso de Identificadores Biométricos (CUBI), Pensilvania aún no ha promulgado una ley que regule específicamente la recopilación, el almacenamiento o el uso de identificadores biométricos como huellas dactilares, geometría facial o escaneos de iris.

Eso no significa que los datos biométricos queden sin regular en el estado. La ley de notificación de violaciones existente de Pensilvania proporciona cierta cobertura, y su estatuto de protección al consumidor crea vías de aplicación. La legislatura estatal también ha presentado varios proyectos de ley que abordarían directamente la privacidad biométrica si se aprueban.

Para obtener una visión general del marco de privacidad más amplio en el estado, consulte la guía principal de Leyes de Privacidad de Datos de Pensilvania.

Cómo se Aplica la BPINA a los Datos Biométricos

La Ley de Notificación de Violación de Información Personal (BPINA), promulgada originalmente como la Ley 94 de 2005, es la principal ley de notificación de violaciones de datos de Pensilvania. Exige a las empresas y agencias gubernamentales notificar a los residentes de Pensilvania cuando su información personal se ve comprometida en una violación de datos.

La BPINA define la "información personal" como el nombre o la inicial del nombre y el apellido de una persona combinados con uno o más de los siguientes elementos de datos no encriptados:

• Número de Seguro Social
• Número de licencia de conducir o número de tarjeta de identificación estatal
• Número de cuenta financiera con cualquier código de seguridad, código de acceso o contraseña requerida
• Información médica en poder de una agencia estatal
• Información del seguro médico
• Un nombre de usuario o dirección de correo electrónico combinado con una contraseña o respuesta a una pregunta de seguridad

Los identificadores biométricos como huellas dactilares, huellas de voz y geometría facial no se enumeran explícitamente en la definición de la BPINA. Este es un vacío significativo. Si una empresa recopila las huellas dactilares de los empleados para el control de horarios y esas huellas son robadas en una violación de datos, la BPINA no exige claramente que la empresa notifique a las personas afectadas.

Sin embargo, el lenguaje amplio de la ley en torno al "acceso y adquisición no autorizados de datos computarizados que comprometen materialmente la seguridad o confidencialidad de la información personal" podría potencialmente aplicarse en situaciones donde los datos biométricos están vinculados a otros elementos cubiertos, como nombres y números de Seguro Social.

La Enmienda de la BPINA de 2024 (Ley 33 de 2024)

El gobernador Josh Shapiro firmó la Ley 33 de 2024 el 28 de junio de 2024, con fecha de vigencia el 26 de septiembre de 2024. Esta enmienda reforzó la BPINA en varios aspectos, aunque todavía no agregó los datos biométricos a la definición de información personal.

Los cambios clave incluyen:

• Nuevo aviso al Fiscal General. La Ley 33 agregó la Sección 3(c.1), que exige a una entidad notificar de manera concurrente a la Fiscal General de Pensilvania siempre que el aviso de violación deba darse a más de 500 personas afectadas en Pensilvania. Antes de la Ley 33, la BPINA no imponía ningún deber de notificación al Fiscal General para entidades privadas, sin importar el umbral.
• Umbral reducido para las agencias de informes crediticios. La Ley 33 también modificó la Sección 5 para reducir el umbral de notificación a las agencias de informes crediticios de ámbito nacional de más de 1,000 personas a más de 500.
• Monitoreo de crédito gratuito. Las entidades afectadas por una violación deben proporcionar a las personas afectadas 12 meses de monitoreo de crédito gratuito cuando la violación involucre números de Seguro Social, números de licencia de conducir, identificaciones estatales o números de cuenta financiera.
• Plazos más rápidos para el gobierno. Las agencias estatales deben notificar a las personas afectadas y al Fiscal General dentro de los siete días hábiles posteriores al descubrimiento de una violación. Las entidades gubernamentales locales deben notificar a las personas dentro de siete días hábiles y a los fiscales de distrito dentro de tres días hábiles.

La enmienda de 2024 fue un paso adelante para la respuesta a violaciones, pero la ausencia de identificadores biométricos en los tipos de datos cubiertos significa que la BPINA por sí sola no proporciona una protección integral para los escaneos de huellas dactilares, las plantillas de reconocimiento facial u otros datos biométricos.

Para obtener más información sobre los requisitos de notificación de violaciones, consulte Leyes de Notificación de Violación de Datos de Pensilvania.

Ley de Protección al Consumidor y Aplicación por el Fiscal General

La BPINA designa cualquier infracción de sus requisitos como un "acto o práctica desleal o engañosa" según la Ley de Prácticas Comerciales Desleales y Protección al Consumidor de Pensilvania (UTPCPL), codificada en las Secciones 201-1 a 201-9.2 de 73 Pa. Stat.

Esta conexión no crea una vía para demandas privadas. La propia sección de recursos civiles de la BPINA, la Sección 2308 de 73 P.S., otorga al Fiscal General de Pensilvania autoridad exclusiva para iniciar una acción bajo la UTPCPL por una infracción de la BPINA. El estatuto establece que "la Oficina del Fiscal General tendrá autoridad exclusiva para iniciar una acción bajo la Ley de Prácticas Comerciales Desleales y Protección al Consumidor por una infracción de esta ley".

Aplicación por el Fiscal General. El Fiscal General puede iniciar acciones civiles contra las empresas que infrinjan la BPINA, buscando medidas cautelares, restitución y sanciones civiles de hasta $1,000 por infracción (hasta $3,000 por infracción cuando la víctima tiene 60 años o más).

Sin derecho de acción privado para las infracciones de la BPINA. La disposición general de demandas privadas de la UTPCPL, la Sección 201-9.2, permite a un consumidor que sufra una pérdida por una práctica desleal o engañosa demandar por daños reales (o un mínimo de $100), honorarios de abogados y hasta daños triplicados. Pero la concesión de autoridad exclusiva de la Sección 2308 al Fiscal General significa que esa disposición no alcanza las fallas en la notificación de violaciones de la BPINA. Un consumidor no puede demandar bajo la UTPCPL por la falla de una empresa en enviar el aviso de violación requerido por la BPINA; solo el Fiscal General puede presentar ese reclamo.

Los consumidores cuya información personal se expone en una violación cubierta por la BPINA no tienen un derecho de acción privado basado en la BPINA contra la empresa que no les notificó. Es posible que aún tengan otras teorías legales disponibles, como un reclamo por negligencia, pero esas existen independientemente de la BPINA y la UTPCPL y dependen de los hechos del caso.

Legislación Pendiente: HB 78 (Ley de Privacidad de Datos del Consumidor)

El proyecto de ley de privacidad biométrica más importante en trámite en Pensilvania es el Proyecto de Ley de la Cámara 78, la Ley de Privacidad de Datos del Consumidor de Pensilvania. La Cámara aprobó el HB 78 el 1 de octubre de 2025, con una votación de 127 a 76.

El HB 78 sigue el modelo de las leyes de privacidad estatales integrales ya promulgadas en Virginia, Connecticut y otros estados. Las disposiciones biométricas clave incluyen:

• Definición de datos biométricos. El proyecto de ley define los datos biométricos como datos generados por mediciones automáticas de las características biológicas de una persona, incluidas huellas dactilares, huellas de voz, retinas oculares, iris u otros patrones biológicos únicos usados para identificar a una persona específica. Las fotografías, videograbaciones y grabaciones de audio están excluidas a menos que se usen para identificación.
• Clasificación como dato sensible. Los datos biométricos se clasifican como "datos sensibles" cuando se procesan para identificar de manera única a una persona. Esto activa protecciones reforzadas.
• Se requiere consentimiento previo. Los controladores deben obtener el consentimiento afirmativo previo de los consumidores antes de procesar datos biométricos con fines de identificación. El consentimiento debe darse libremente, ser específico, informado e inequívoco.
• Derechos del consumidor. Las personas pueden solicitar acceso, corrección, eliminación y copias portátiles de sus datos biométricos. También pueden excluirse de la venta de sus datos biométricos o de su uso para publicidad dirigida.
• Aplicación exclusiva del Fiscal General. El Fiscal General tiene la autoridad exclusiva de aplicación. El proyecto de ley no incluye un derecho de acción privado. Existe un período de subsanación de 30 días antes de que el Fiscal General pueda iniciar la aplicación.

El HB 78 fue reenviado al Comité de Comunicaciones y Tecnología del Senado el 4 de febrero de 2026. A partir de agosto de 2026, el comité ha aprobado el proyecto de ley con enmiendas y lo ha remitido al Senado completo, donde aprobó la segunda consideración el 25 de junio de 2026. Sigue pendiente de una votación final en el Senado. Su proyecto de ley complementario, el Proyecto de Ley del Senado 112, patrocinado por la senadora Maria Collett, contiene disposiciones similares y también se encuentra en el Comité de Comunicaciones y Tecnología del Senado.

Legislación Pendiente: HB 596 (Ley de Señalización de Identificadores Biométricos)

El Proyecto de Ley de la Cámara 596, presentado por el representante Ed Neilson el 12 de febrero de 2025, adopta un enfoque más limitado centrado específicamente en la divulgación comercial de la recopilación de datos biométricos.

Disposiciones clave:

• Alcance. Se aplica a los establecimientos comerciales, como tiendas minoristas, restaurantes, hoteles y lugares de entretenimiento, que recopilan, retienen, almacenan o comparten información de identificadores biométricos de los clientes.
• Requisito de señalización. Los establecimientos cubiertos deben colocar carteles claros y visibles cerca de las entradas de clientes que notifiquen a estos, en lenguaje sencillo, sobre la recopilación de datos biométricos.
• Definición de identificador biométrico. Cubre las características fisiológicas o biológicas usadas para identificar a las personas, incluidos escaneos de retina, huellas dactilares, huellas de voz y geometría facial.
• Derecho de acción privado. Los clientes pueden presentar demandas civiles por infracciones. Los daños oscilan entre $500 y $5,000 por infracción, más honorarios de abogados. Existe un aviso escrito de 30 días y un período de subsanación antes de presentar la demanda por infracciones exclusivamente de señalización.
• Exenciones. Las entidades gubernamentales y las instituciones financieras están excluidas. Las videograbaciones no usadas con fines de identificación también están exentas.

El HB 596 fue enviado al Comité de Comercio de la Cámara el 12 de febrero de 2025, y no ha avanzado más a partir de agosto de 2026. Un proyecto de ley casi idéntico, el HB 926, fue presentado en la sesión 2023-2024 por el mismo patrocinador, pero murió en comité sin recibir votación.

Uso de Datos Biométricos por Parte de los Empleadores en Pensilvania

Los empleadores de Pensilvania que recopilan huellas dactilares, escaneos faciales u otros identificadores biométricos para el control de horarios, control de acceso o fines de seguridad actualmente operan sin una ley estatal específica de privacidad biométrica que rija esas actividades.

Existen varias consideraciones prácticas:

Sin mandato a nivel estatal. Pensilvania no exige a los empleadores proporcionar aviso escrito, obtener consentimiento o establecer cronogramas de retención antes de recopilar datos biométricos de los empleados.

Exposición multiestatal. Los empleadores que operan en varios estados deben considerar las leyes biométricas de otros estados donde tienen empleados. Un empleador con sede en Pensilvania pero con trabajadores en Illinois debe cumplir con la BIPA de Illinois para esos empleados. Los acuerdos de demandas colectivas de la BIPA han alcanzado decenas de millones de dólares, incluido un acuerdo de $51.75 millones con Clearview AI en 2025.

Impacto del HB 78 si se aprueba. Si el HB 78 se convierte en ley, probablemente eximiría los datos de los empleados recopilados en un contexto laboral de la mayoría de las disposiciones de privacidad del consumidor, siguiendo el enfoque adoptado por la mayoría de las leyes de privacidad estatales integrales. Sin embargo, los empleadores deben monitorear el progreso del proyecto de ley, ya que el lenguaje de exención puede cambiar durante el proceso legislativo.

Mejores prácticas. Los profesionales del derecho laboral en Pensilvania recomiendan que los empleadores implementen de forma proactiva procedimientos de aviso y consentimiento, establezcan políticas de retención y destrucción de datos, y evalúen el cumplimiento de los proveedores externos incluso antes de que una ley estatal lo exija.

Cómo se Compara Pensilvania con Otros Estados

Pensilvania se ubica en un nivel intermedio entre los estados en cuanto a la protección de la privacidad biométrica. Carece de las sólidas protecciones independientes de estados como Illinois (BIPA, con su derecho de acción privado que ha generado miles de millones en acuerdos) o Texas (CUBI, con aplicación del Fiscal General y sanciones de $25,000 por infracción).

La combinación BPINA/UTPCPL proporciona algunas herramientas de aplicación, pero la ausencia de identificadores biométricos del factor desencadenante de notificación de violaciones limita el impacto práctico. Si se aprueba el HB 78, Pensilvania se uniría a más de 20 estados con leyes de privacidad del consumidor integrales que clasifican los datos biométricos como sensibles, pero sin un derecho de acción privado específicamente para reclamos biométricos.

El HB 596 acercaría a Pensilvania al modelo de Illinois al crear un derecho de acción privado para la recopilación comercial de datos biométricos, aunque su alcance se limita a los establecimientos comerciales orientados al cliente y no cubre la recopilación de datos por parte de los empleadores.

Más Leyes de Pensilvania

• Leyes de Grabación de Reuniones con IA de Pensilvania
• Leyes de Pensión Alimenticia de Pensilvania
• Leyes de Empleo a Voluntad de Pensilvania
• Leyes de Accidentes de Auto de Pensilvania
• Leyes de Asientos de Auto para Niños de Pensilvania
• Leyes de Custodia de Menores de Pensilvania
• Leyes de Manutención Infantil de Pensilvania
• Leyes de Matrimonio de Hecho de Pensilvania
• Leyes sobre Deepfakes de Pensilvania
• Leyes de Divorcio de Pensilvania
• Leyes sobre Mordeduras de Perro de Pensilvania
• Leyes de Emancipación de Pensilvania
• Leyes de Eliminación de Antecedentes Penales de Pensilvania
• Leyes sobre Choque y Fuga de Pensilvania
• Leyes de Propietarios e Inquilinos de Pensilvania
• Leyes de Vehículos Defectuosos (Ley del Limón) de Pensilvania

Fuentes y Recursos Oficiales

Para obtener la información más actualizada sobre las leyes de privacidad biométrica de Pensilvania y la legislación pendiente, consulte estas fuentes gubernamentales oficiales:

• Texto Completo de la BPINA (Ley 94 de 2005) en el sitio web de la Asamblea General de Pensilvania
• Ley 33 de 2024 (Enmienda a la BPINA) en el sitio web de la Asamblea General de Pensilvania
• Fiscal General de PA - Reportar una Violación de Datos para el reporte de violaciones y orientación al consumidor
• Estado del Proyecto de Ley HB 78 en el sitio web de la Asamblea General de Pensilvania
• Estado del Proyecto de Ley HB 596 en el sitio web de la Asamblea General de Pensilvania
• Estado del Proyecto de Ley SB 112 en el sitio web de la Asamblea General de Pensilvania

Este artículo proporciona información legal general sobre las leyes de privacidad biométrica de Pensilvania. No constituye asesoría legal. Consulte a un abogado calificado para obtener orientación sobre su situación específica. Las leyes y regulaciones cambian con frecuencia. Verifique los requisitos actuales a través de las fuentes gubernamentales oficiales de Pensilvania.

Preguntas frecuentes

¿Tiene Pensilvania una ley de privacidad biométrica?

Pensilvania no cuenta con una ley independiente de privacidad biométrica a partir de agosto de 2026. Los datos biométricos reciben protección indirecta a través de la Ley de Notificación de Violación de Información Personal (BPINA) y la Ley de Prácticas Comerciales Desleales y Protección al Consumidor (UTPCPL). Sin embargo, la BPINA no enumera explícitamente los identificadores biométricos en su definición de información personal.

¿Puedo demandar a una empresa en Pensilvania por recopilar mis datos biométricos sin consentimiento?

No existe un estatuto específico de Pensilvania que cree un derecho de acción privado directo para la recopilación no autorizada de datos biométricos. La propia disposición de aplicación de la BPINA, la Sección 2308 de 73 P.S., otorga al Fiscal General de Pensilvania autoridad exclusiva para presentar un reclamo bajo la UTPCPL por una infracción de la BPINA, por lo que los consumidores tampoco pueden demandar bajo la UTPCPL por una falla en la notificación de violaciones de la BPINA. La legislación pendiente, como el HB 596, crearía un derecho de acción privado directo con daños de $500 a $5,000 por infracción.

¿Necesita mi empleador de Pensilvania mi consentimiento para escanear mis huellas dactilares?

Según la ley actual de Pensilvania, los empleadores no están obligados a obtener consentimiento antes de recopilar huellas dactilares u otros datos biométricos. Ningún estatuto estatal exige aviso escrito, consentimiento o políticas de retención para la recopilación biométrica por parte de los empleadores. Sin embargo, si se aprueba el HB 78, clasificaría los datos biométricos como datos sensibles que requieren consentimiento previo, aunque podrían aplicarse exenciones en el contexto laboral.

¿Qué sucede si una empresa pierde mis datos biométricos en una violación de datos en Pensilvania?

La BPINA no exige explícitamente la notificación de violación cuando solo se ven comprometidos datos biométricos. Si la violación también involucra información personal cubierta, como números de Seguro Social o números de cuenta financiera, la empresa debe notificar a las personas afectadas sin demora injustificada. La enmienda de 2024 agregó requisitos de 12 meses de monitoreo de crédito gratuito y, en una disposición nueva para la ley de Pensilvania, aviso concurrente al Fiscal General cuando el aviso de violación deba darse a más de 500 residentes de la Mancomunidad.

¿Aprobará Pensilvania una ley de privacidad biométrica en 2026?

Hay dos proyectos de ley relevantes pendientes. El HB 78 (Ley de Privacidad de Datos del Consumidor) fue aprobado por la Cámara en octubre de 2025, fue reportado favorablemente con enmiendas por el Comité de Comunicaciones y Tecnología del Senado el 24 de junio de 2026, y aprobó la segunda consideración en el Senado completo el 25 de junio de 2026. Todavía necesita una votación final en el Senado. El HB 596 (Ley de Señalización de Identificadores Biométricos) está en el Comité de Comercio de la Cámara. Ambos enfrentan cronogramas inciertos. Proyectos de ley biométricos anteriores, como el HB 926 de la sesión 2023-2024, murieron sin avanzar.