CURP biométrica: qué obliga a las empresas y qué no resuelve todavía

La CURP biométrica es la Clave Única de Registro de Población con huellas dactilares y fotografía, que la Ley General de Población convierte en documento nacional de identificación, en formato físico y digital. Tramitarla no es obligatorio para las personas, porque la ley pide su consentimiento para integrar los datos biométricos; las obligaciones recaen en empresas e instituciones públicas, que deben aceptarla como identificación y solicitar la CURP en sus trámites (artículos 91 Bis y 91 Sexies, texto del decreto publicado en el DOF el 16 de julio de 2025, revisado el 29 de octubre de 2026).

El decreto publicado en el Diario Oficial de la Federación el 16 de julio de 2025 le dio a México un documento nacional de identidad y, en el mismo texto, una obligación para todo particular que preste trámites y servicios. El artículo 91 Sexies que ese decreto añadió a la Ley General de Población lo dice sin matices: «Todo ente público o particular estará obligado a solicitar la Clave Única de Registro de Población para la prestación de sus trámites y servicios».

Qué es la CURP biométrica y qué datos incluye

La CURP es la clave de 18 caracteres que identifica a cada persona de nacionalidad mexicana y a cada extranjero en estancia regular en el país. Según el artículo 91 de la Ley General de Población, contiene al menos nombres y apellidos, fecha de nacimiento, sexo o género, lugar de nacimiento y nacionalidad.

La versión biométrica es la misma clave con dos datos más. El artículo 91 Bis dice que la CURP que «contenga huellas dactilares y fotografía» será el documento nacional de identificación y estará disponible en formato físico y digital. La versión digital queda a cargo de la Agencia de Transformación Digital y Telecomunicaciones (artículo 91 Quinquies).

La ley menciona solo huellas y fotografía. En los módulos se captura más: el Registro Civil de San Luis Potosí informa que el registro incluye huellas dactilares, iris y rostro, y el Gobierno de Zacatecas añade la firma electrónica.

La CURP certificada es otra cosa: es la CURP cuyos datos ya están verificados con el Registro Civil, y es requisito para tramitar la biométrica. Se consulta y se descarga en gob.mx/curp.

Las empresas no tienen CURP. La clave corresponde a personas; una empresa se identifica con su RFC. Lo que la ley pide a una empresa es solicitar la CURP de las personas a las que atiende.

¿La CURP biométrica es obligatoria? Lo que dice el artículo 91 Bis

Para la persona, no. El último párrafo del artículo 91 Bis establece: «La integración de los datos biométricos se realizará, previo consentimiento de las personas titulares». Nadie puede ser obligado a registrar sus huellas o su fotografía en la CURP.

El mismo artículo llama al documento «obligatorio» y «de aceptación universal y obligatoria en todo el territorio nacional». Esa parte se dirige a quien lo recibe: una oficina pública, un banco o una tienda no pueden rechazar la CURP biométrica cuando alguien la presenta como identificación. El artículo 114 Bis sanciona el incumplimiento de las obligaciones del 91 Bis con multas de 10,000 a 20,000 UMA, previo apercibimiento.

Quien no tramita la versión biométrica sigue teniendo su CURP. El artículo 91 Sexies obliga a todo ente público o particular a solicitar «la Clave Única de Registro de Población» en sus trámites y servicios, y no exige la versión con datos biométricos.

La constitucionalidad de estas normas está en revisión. El 22 de octubre de 2026 se publicó en el DOF el Acuerdo General 13/2026-AAG del Pleno de la Suprema Corte de Justicia de la Nación. Al 30 de septiembre de 2026 había registro de 138 amparos en revisión pendientes que analizan los artículos 91, párrafo segundo, 91 Bis, 91 Ter, 91 Quater, 91 Quinquies, 91 Sexies y 114 Bis. El acuerdo no cambia la ley: ordena a los tribunales dejar esos asuntos listos y aplazar la sentencia «hasta en tanto el Pleno de este Alto Tribunal establezca el o los criterios respectivos».

Para qué sirve la CURP biométrica y requisitos para tramitarla

La ley le da cuatro usos. Es identificación oficial física y digital que todos deben aceptar (artículo 91 Bis). La CURP, biométrica o no, se emplea para validar y autenticar la identidad en medios digitales (artículo 91 Sexies). Se vincula con el Registro del Sistema Nacional de Salud (artículo 91 Ter). Y alimenta la Plataforma Única de Identidad del RENAPO, creada para la consulta, validación y gestión de las CURP (artículo 91 Quater).

La Secretaría de Gobernación, en su comunicado del 13 de abril de 2026, presenta como objetivos reducir la duplicidad de registros, la suplantación de identidad y el uso indebido de información personal, y facilitar el acceso a servicios gubernamentales.

El trámite es presencial, en módulos del Registro Civil que operan con el RENAPO, y los requisitos los publica cada estado. El Registro Civil de Coahuila pide:

• personas de 18 años o más: identificación oficial con fotografía en original, CURP certificada y correo electrónico;

• menores de 18 años: acudir con madre, padre o tutor, que debe haber hecho antes su propio registro biométrico y acreditar la tutela; CURP del menor y correo electrónico;

• de 5 a 17 años, además, una identificación con fotografía, como credencial escolar, certificado escolar o cartilla de salud.

El Registro Civil de San Luis Potosí pide una lista parecida: CURP impresa certificada por RENAPO, identificación oficial vigente y correo electrónico personal. Antes de acudir, conviene confirmar requisitos y horarios con el Registro Civil de su estado.

Qué obliga a las empresas: los artículos 91 Bis a 114 Bis

El transitorio cuarto de ese mismo decreto dio noventa días naturales para adoptar las medidas necesarias. Como el decreto entró en vigor el 17 de julio de 2025, el plazo venció a mediados de octubre de ese año.

El artículo 114 Bis fija la sanción: multas de 10,000 a 20,000 veces el valor diario de la Unidad de Medida y Actualización, previo apercibimiento por el reiterado incumplimiento. Con la UMA vigente desde el 1 de febrero de 2026, de 117.31 pesos diarios, el rango va de 1.17 a 2.35 millones de pesos.

El esquema descansa sobre cinco de los artículos que añadió el decreto, y cada uno crea una obligación distinta. La multa respalda solo a uno de ellos.

Conviene que un área jurídica lea con calma la redacción del 114 Bis. La multa se ancla en el artículo 91 Bis, el que ordena aceptar la CURP biométrica como identificación válida, y no en el 91 Sexies, que es el que ordena solicitarla. Si una empresa rechaza en ventanilla una CURP biométrica, cae en el supuesto sancionado. Si simplemente no pide la CURP, queda fuera de esa remisión literal.

El 91 Sexies remite además al Reglamento de la Ley General de Población. Hasta que ese reglamento fije los términos, la obligación está en la ley, pero nadie ha escrito cómo se opera en detalle.

El origen del decreto explica su alcance

El texto no nació como una reforma de identidad digital. Su título lo dice: decreto que reforma la Ley General en Materia de Desaparición Forzada de Personas y la Ley General de Población, «en materia de fortalecimiento de búsqueda, localización e identificación de personas desaparecidas». La CURP biométrica y la Plataforma Única de Identidad entraron por esa puerta. Qué es la identidad digital y en qué se diferencia de la verificación de identidad está desarrollado en qué es la identidad digital y cómo se verifica.

Ese origen condiciona toda la infraestructura posterior. Por eso una empresa que busca ahí un servicio de validación de identidad todavía no lo encuentra.

La Plataforma Única de Identidad todavía no valida identidades

Los Lineamientos para el Desarrollo y Operación de la Plataforma Única de Identidad se publicaron el 27 de noviembre de 2025. Su glosario distingue dos figuras. Las Entidades Registradoras son «instituciones públicas». Las Entidades Usuarias son «las instituciones públicas o diversas» que el RENAPO autoriza a consultar y validar datos personales, biométricos y administrativos, así que esta segunda categoría va más allá del sector público. Lo que abre la puerta es la autorización del RENAPO conforme al Manual de Operación.

Su transitorio segundo ordenó emitir tres documentos en treinta días hábiles: el Manual de Operación de la PUI para el Servicio Nacional de Identificación Personal y los manuales técnicos para las instituciones públicas y para las instituciones diversas. El transitorio cuarto ata el arranque a uno solo de ellos. El servicio «entrará en operación en un plazo no mayor a 45 días hábiles posteriores a la expedición del Manual de Operación».

Los dos manuales técnicos aparecieron en la edición vespertina del DOF del 23 de enero de 2026, en versión 1.0 fechada el 13 de enero. Son especificaciones de API, con sus endpoints, tokens y listas de control de acceso, y su primer objetivo deja claro para qué sirven: el intercambio de información con las instituciones diversas se establece «con la finalidad exclusiva de apoyar las acciones de búsqueda y localización de personas desaparecidas o no localizadas».

Un banco que se interconecte bajo esos manuales puede consultar reportes activos de personas desaparecidas y notificar coincidencias. Verificar a sus clientes, no. Esa función depende de otro documento, el Manual de Operación del SNIP, que es donde se fijan los niveles de aseguramiento de la identidad que menciona el glosario de los Lineamientos. Y es también el manual que pone en marcha el plazo de 45 días hábiles.

Lo que la CNBV ya exigía desde 2017

Los bancos ya hacían verificación remota de identidad (KYC) ocho años antes de la CURP biométrica. La resolución del 29 de agosto de 2017 que añadió los artículos 51 Bis a la Circular Única de Bancos describe el procedimiento con un detalle que la nueva ley no tiene.

El artículo 51 Bis 4 obliga a verificar en línea, contra los registros del Instituto Nacional Electoral, el Código Identificador de Credencial y los nombres y apellidos tal como aparecen en la credencial para votar. Para la huella dactilar la norma da un número: debe coincidir «al menos en un noventa y ocho por ciento» con los registros del INE. También exige que el lector asegure que la huella se toma directamente de la persona, «evitando el registro de huellas provenientes de impresiones en algún material que pretenda simular la huella de otra persona (prueba de huella viva)». Ese requisito lleva nombre propio en la norma desde 2017.

La misma resolución hace obligatoria la comprobación de la CURP: antes de la contratación, las instituciones deben corroborar de forma remota con el Registro Nacional de Población que los datos proporcionados coinciden con ese registro, y guardar evidencia. Para abrir sin presencia física cuentas de nivel 3 y de nivel 4 con tope de abonos mensuales, el procedimiento añade la comparación de la fotografía de la credencial para votar con el rostro del solicitante para «hacer el reconocimiento biométrico facial entre estas».

El regulador no fija el umbral de esa comparación facial. El artículo 51 Bis 9, fracción IV, pide evidencia de que los reconocimientos de rostro tengan «el nivel de fiabilidad determinado por el comité de riesgos de la Institución». La entidad elige el punto de corte y tiene que defenderlo.

Aceptar no es verificar

El artículo 91 Bis contiene una frase que decide cómo debe leerse todo lo anterior: «La integración de los datos biométricos se realizará, previo consentimiento de las personas titulares».

Quien decide integrar sus datos biométricos es el titular. Qué exige la ley al resto de quienes tratan esos datos está en datos biométricos en México y la nueva ley de protección de datos. La ley obliga a la empresa a aceptar la CURP biométrica cuando alguien la presenta, pero no le permite exigir al cliente que la tramite. En una fila real hay de todo: gente con CURP biométrica, gente con la CURP tradicional y extranjeros en estancia regular. El alta tiene que funcionar para todos.

Aceptar un documento tampoco prueba que la persona frente a la cámara sea su titular. Eso se resuelve igual que antes: se lee el documento, se compara el rostro con la fotografía impresa y se confirma que ese rostro es de alguien presente y vivo.

Dónde entra la verificación biométrica

Entre lo que exige la ley y lo que necesita un alta quedan tres comprobaciones.

Sobre el alcance: esta verificación trabaja con el documento y el rostro, sin consultar el RENAPO ni la Lista Nominal del INE. Esa consulta es otra integración. Por la vía de la Plataforma Única de Identidad, sigue pendiente de la autorización del RENAPO y del manual que falta.

Lo que ya puede cerrar hoy en el alta es el documento y el rostro. Solicite una demostración con sus propios documentos mexicanos y mida los resultados sobre casos reales antes de fijar el umbral que su comité tendrá que defender. Para la credencial para votar, la comprobación del documento y del rostro está en la verificación de la credencial INE.