Datos biométricos en México: qué exige la nueva ley de protección de datos

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada el 20 de marzo de 2025, regula el tratamiento del rostro y la huella dactilar sin usar la palabra «biométrico» ni una sola vez. Cero apariciones en el texto íntegro. Esa ausencia no es un descuido: es la razón por la que la clasificación de una fotografía facial o de una plantilla de huella queda en manos de quien la recolecta.

La palabra que no aparece en la ley

El artículo 2, fracción VI, define los datos personales sensibles como aquellos «que afecten a la esfera más íntima de la persona titular, o cuya utilización indebida pueda dar origen a discriminación o conlleve un riesgo grave para esta».

La ley enumera ejemplos: origen racial o étnico, estado de salud, información genética, creencias religiosas, filosóficas y morales, opiniones políticas y preferencia sexual. La biometría no está en esa lista. Pero la norma aclara que los datos se consideran sensibles «de manera enunciativa más no limitativa».

La consecuencia es operativa. Ningún artículo declara sensible al rostro. Ninguno lo excluye. El responsable debe aplicar el criterio del artículo 2 a su propio caso: si el uso indebido de esa plantilla facial puede dar origen a discriminación o suponer un riesgo grave. En un alta que compara un rostro contra un documento oficial, sostener la respuesta negativa es difícil.

De esa clasificación depende todo lo demás: la forma del consentimiento, el contenido del aviso de privacidad y el monto de la multa.

Consentimiento expreso para datos sensibles

Para los datos ordinarios, la ley admite el consentimiento tácito. El artículo 7 lo establece con claridad: el consentimiento será tácito cuando, puesto a disposición el aviso de privacidad, la persona no manifieste su voluntad en contrario.

Con los datos sensibles el estándar cambia. El artículo 8 exige «el consentimiento expreso y por escrito de la persona titular para su tratamiento, a través de su firma autógrafa, firma electrónica, o cualquier mecanismo de autenticación que al efecto se establezca».

Esa última frase hace viable un alta cien por ciento remota. La norma admite como forma escrita cualquier mecanismo de autenticación, y un mecanismo de autenticación identifica a quien consiente. Una casilla sin autenticación no cumple ese requisito.

El mismo artículo añade una prohibición que suele pasarse por alto en los proyectos de biometría: «No podrán crearse bases de datos que contengan datos personales sensibles, sin que se justifique la creación de las mismas para finalidades legítimas, concretas y acordes con las actividades o fines explícitos que persigue el sujeto regulado». Guardar rostros «por si acaso» no supera esa prueba. Guardarlos para prevenir la suplantación en el alta, sí, y esa finalidad debe documentarse.

Cuándo la ley no exige consentimiento

El artículo 9 enumera los casos en que el responsable no está obligado a recabar el consentimiento. Dos importan en el sector financiero.

La fracción I lo libera cuando «una disposición jurídica así lo disponga». Un banco que captura la huella y compara el rostro porque se lo ordenan los artículos 51 Bis de la Circular Única de Bancos actúa bajo ese supuesto: la fuente de legitimidad es la norma prudencial, no la casilla del formulario.

La fracción IV lo libera cuando los datos «se requieran para ejercer un derecho o cumplir obligaciones derivadas de una relación jurídica entre la persona titular y el responsable».

Ninguna de las dos excepciones elimina el aviso de privacidad. El artículo 15 obliga a enumerar los datos tratados «identificando aquéllos que son sensibles» y a distinguir las finalidades que sí requieren consentimiento de las que no. La transparencia sobrevive a la excepción.

Su proveedor de verificación no es un tercero

La nueva ley resuelve una duda que frenaba contratos. El artículo 2, fracción XX, define la transferencia como «toda comunicación de datos personales dentro o fuera del territorio mexicano, realizada a persona distinta de la titular, del responsable o de la persona encargada del tratamiento».

La persona encargada queda expresamente fuera. La fracción XII la define como quien trata datos «por cuenta del responsable». El artículo 35 repite la exclusión al regular las transferencias a terceros «distintos de la persona encargada».

Para un proyecto de verificación remota, esto tiene una consecuencia concreta. Enviar la selfie y la imagen del documento a un proveedor que los procesa por cuenta de la entidad no activa el régimen de transferencias del capítulo V. Lo que sí exige es que el contrato deje claro que el proveedor actúa por cuenta del responsable, con las finalidades del aviso de privacidad y sin usos propios.

El límite es simétrico. Si ese proveedor reutiliza las imágenes para entrenar modelos propios o las cede a otra empresa, deja de actuar por cuenta ajena y la operación cambia de régimen.

Plazos de conservación y supresión

El artículo 10 fija la regla general: cuando los datos dejan de ser necesarios para las finalidades del aviso de privacidad, deben suprimirse, previo bloqueo, y una vez concluido el plazo de conservación.

El bloqueo tiene definición propia. Es la conservación posterior al cumplimiento de la finalidad «con el único propósito de determinar posibles responsabilidades», hasta el plazo de prescripción, sin que los datos puedan ser tratados durante ese periodo.

Traducido a un expediente de identificación: la sesión de verificación puede conservarse como evidencia frente al regulador, pero en un estado en el que ya no se usa para nada más. La misma ley pone un plazo cerrado para un caso vecino: los datos relativos al incumplimiento de obligaciones contractuales se eliminan a los setenta y dos meses.

Multas que se duplican por datos sensibles

Las infracciones las sanciona la Secretaría Anticorrupción y Buen Gobierno, que en la nueva arquitectura es la autoridad de la materia. La autoridad garante federal es «Transparencia para el Pueblo, órgano administrativo desconcentrado» de esa misma secretaría. El decreto abrogó las leyes de transparencia y de datos sobre las que operaba el instituto autónomo anterior.

El artículo 59 escala las multas en dos tramos:

• De 100 a 160,000 UMA para un grupo de infracciones

• De 200 a 320,000 UMA para el grupo más grave

• Multa adicional de 100 a 320,000 UMA si la conducta persiste

La ley añade la agravante que define el riesgo de cualquier proyecto biométrico: «En tratándose de infracciones cometidas en el tratamiento de datos sensibles, las sanciones podrán incrementarse hasta por dos veces».

Con la UMA de 117.31 pesos diarios vigente desde el 1 de febrero de 2026, el tramo alto llega a 37.5 millones de pesos antes de la agravante. Con la duplicación, la multa máxima alcanza 75 millones de pesos.

La ley también tipifica delitos. De tres meses a tres años de prisión para quien, estando autorizado a tratar datos y con ánimo de lucro, provoque una vulneración de seguridad en las bases bajo su custodia. De seis meses a cinco años para quien trate datos mediante engaño. Tratándose de datos personales sensibles, esas penas se duplican.

Cómo se traduce a la arquitectura del sistema

Las obligaciones de la ley caen sobre decisiones concretas de despliegue:

Una precisión sobre el reparto de responsabilidades. La clasificación del dato, el texto del aviso de privacidad y el plazo de conservación son decisiones del responsable, y ningún proveedor las asume por él. Lo que un proveedor puede aportar es que la arquitectura no le impida cumplirlas.

Si su área legal está revisando el aviso de privacidad antes de lanzar un alta digital, conviene fijar primero dónde residirán las imágenes. Solicite una demostración y evalúe el despliegue on-premise antes de escribir la cláusula. Revise también las capacidades de prueba de vida y comparación facial.