Cuando una organización identifica a las personas por su rostro, su huella o su voz, la pregunta ya no es solo si puede hacerlo. También importa cómo protege esos datos, para qué los usa y qué debe cambiar en los sistemas que ya tiene en funcionamiento.
En septiembre de 2026, la Superintendencia de Protección de Datos Personales (SPDP) expidió, mediante la Resolución N.º SPDP-SPD-2026-0039-R, la Norma General para el Tratamiento de Datos Biométricos. Detrás de ella hay una diferencia evidente: una contraseña comprometida se reemplaza, una tarjeta se cancela y un código se regenera. Un rostro, una huella o un iris, no.
Por eso, antes de recurrir a la biometría, la norma exige justificar que es estrictamente necesaria y realizar un análisis de riesgos y una Evaluación de Impacto del Tratamiento de Datos Personales (EIPD). Además, cuando el tratamiento se basa en el consentimiento, la persona debe poder elegir de verdad.
Superar esa prueba, sin embargo, no cierra la conversación. Un sistema biométrico justificado todavía debe protegerse frente al peor escenario, limitarse a la finalidad que lo originó y respetar reglas específicas en los contextos más sensibles.
La seguridad biométrica exige pensar en el peor escenario
La razón para exigir más controles es sencilla. Si alguien obtiene una contraseña, la cambiamos. Si compromete una plantilla biométrica (la representación matemática que el sistema usa para hacer comparaciones) o información que permite reconstruir rasgos identificativos, las consecuencias son mucho más difíciles de revertir.
Por eso la norma exige medidas de seguridad reforzadas y protección de datos desde el diseño y por defecto. Entre ellas, la SPDP señala la minimización, la limitación estricta de accesos y arquitecturas pensadas para reducir los riesgos de identificación indebida, reutilización no autorizada o filtraciones.
Cualquier organización debería preguntarse: ¿protegemos este dato en función de lo fácil que es recopilarlo o de lo difícil que sería reemplazarlo? En biometría, esas dos medidas pueden estar muy lejos una de otra.
Recolectar para una finalidad no autoriza a reutilizar para otra
Otro límite fundamental es la finalidad. Imaginemos que una empresa implementa reconocimiento facial para controlar el acceso a un edificio. Luego descubre que esos registros podrían servir para analizar la frecuencia de visitas; después, para medir el tiempo de permanencia; más tarde, para identificar patrones de comportamiento.
Tecnológicamente puede parecer eficiente. Desde la protección de datos, cada nuevo uso cambia la conversación.
La SPDP recuerda que los principios de pertinencia, minimización y confidencialidad obligan a limitar las operaciones al objetivo que justificó originalmente el tratamiento y a controlar los usos posteriores. Tener el dato no otorga automáticamente el derecho a darle nuevos usos, y esta idea ganará peso a medida que la inteligencia artificial y la biometría se integren.
Un rostro no debería convertirse automáticamente en vigilancia
El reconocimiento facial es quizá el escenario más sensible. No es lo mismo mirar voluntariamente la cámara del teléfono para desbloquearlo que caminar por un espacio donde un sistema intenta identificar a todas las personas que pasan. En el primer caso hay una interacción individual; en el segundo, la posibilidad de una vigilancia sistemática.
Ahí la cuestión ya no es solo la privacidad: también están en juego la libertad de movimiento, el anonimato práctico y la posibilidad de participar en espacios públicos sin ser identificado de forma permanente.
La nueva regulación fija límites específicos para las tecnologías biométricas y obliga a evaluar su proporcionalidad, riesgo y finalidad. Entre ellos, prohíbe el uso de sistemas biométricos para la identificación masiva e indiscriminada de personas en espacios públicos, salvo que exista un mandato expreso en una norma con rango de ley y el tratamiento esté debidamente justificado. Además, introduce reglas particulares para el reconocimiento facial, que deben analizarse junto con la normativa sobre tratamientos a gran escala.
Esto refleja una distinción cada vez más importante: identificar a una persona que pide ser identificada no es lo mismo que intentar identificar a todas las personas que pueden ser observadas.
Con niños, niñas y adolescentes, la exigencia debe ser aún mayor
La biometría adquiere otra dimensión cuando involucra a menores de edad. No solo porque se trata de una población que requiere protección reforzada, sino porque un dato biométrico obtenido en la infancia puede acompañar a una persona durante décadas.
En estos casos, la conveniencia tecnológica debería pesar todavía menos frente a preguntas como estas: ¿es indispensable?, ¿existe una alternativa?, ¿cuánto tiempo se conservará el dato?, ¿qué pasará cuando esa persona llegue a la adultez?, ¿qué riesgo supondría una filtración?
La norma establece salvaguardas reforzadas para estos tratamientos y restringe su uso con fines de identificación, salvo en condiciones específicas. La lógica vuelve a ser la misma: cuanto menos reversible es un dato, más alto debe ser el estándar para justificar su recolección.
¿Qué cambia para una empresa que ya usa biometría?
La norma otorga a quienes ya utilizan sistemas biométricos un plazo de doce meses, contado desde su publicación en el Registro Oficial, para adecuarse. Pero el trabajo no debería empezar al final del plazo. Un primer ejercicio puede ser bastante concreto:
- Levantar un inventario biométrico. ¿Dónde usamos rostro, huella, voz, iris u otros identificadores biométricos?
- Identificar la finalidad real. ¿Por qué usamos biometría en cada proceso?
- Evaluar alternativas. ¿Podemos lograr lo mismo con una tarjeta, un PIN, una aplicación, una credencial u otro mecanismo menos invasivo?
- Revisar la arquitectura. ¿Guardamos datos brutos o plantillas? ¿Dónde? ¿Quién accede y durante cuánto tiempo?
- Revisar la base jurídica y el consentimiento. ¿La elección es realmente libre? ¿Existe una alternativa equivalente cuando corresponde?
- Realizar o actualizar el análisis de riesgos y la EIPD.
- Revisar proveedores y contratos. ¿Qué ocurre con los datos cuando interviene un tercero?
- Diseñar el ciclo de vida del dato. ¿Cuándo y cómo se eliminará la información?
Más que una lista de cumplimiento, este ejercicio responde una pregunta de fondo: ¿conocemos realmente la infraestructura biométrica de nuestra organización?
El cuerpo está entrando en la infraestructura digital
La biometría seguirá creciendo, y tiene ventajas reales: puede reducir el fraude, simplificar la autenticación, proteger accesos y ofrecer experiencias digitales mucho más fluidas. La nueva norma no elimina esas posibilidades. Lo que cambia es el estándar para decidir cuándo están justificadas.
La comodidad ya no basta. La innovación ya no basta. La eficiencia ya no basta.
Una organización debe demostrar que el tratamiento es lícito, necesario y proporcional, y que está adecuadamente protegido. La SPDP lo ha dicho de forma expresa: ni una finalidad válida ni la disponibilidad de una tecnología autorizan, por sí solas, el tratamiento biométrico.
Quizá esa sea la conversación más importante detrás de la norma. Durante mucho tiempo diseñamos sistemas digitales preguntándonos cómo identificar a una persona con mayor precisión. La siguiente etapa exige añadir otra pregunta: ¿cuándo tenemos realmente una razón suficiente para hacerlo?
Porque cuando el cuerpo se convierte en infraestructura digital, proteger los datos significa también proteger algo que la persona no puede reemplazar.
Este artículo tiene fines informativos y no constituye asesoría legal.