El escaneo facial dentro de tu verificacion de identidad: lo que exige realmente la ley de privacidad biometrica a un proveedor

Anadiste una verificacion de identidad o de edad porque tanto la ley como tu procesador de pagos lo exigen, elegiste un proveedor cuya pagina de producto usa expresiones como coincidencia facial o deteccion de vida, y seguiste adelante. Visto desde fuera, parece la version digital de un portero mirando una licencia de conducir: entra una foto, sale un si o un no. Lo que esa descripcion omite es lo que ocurre realmente en el medio, porque comparar un selfie con la foto de un documento normalmente significa que el software extrae primero una descripcion matematica del rostro de la persona, y varios estados de Estados Unidos han decidido que ese resultado especifico no es en absoluto una fotografia comun. Es una categoria de datos aparte, regulada de forma mas estricta, con su propio tramite de consentimiento y su propia formula de indemnizacion, que corre en paralelo a todo lo que ya sabes sobre verificacion de edad y retencion de datos.

Nada de esto aparece en la pagina de precios del proveedor, y casi nadie lee la norma correspondiente antes de firmar el contrato, que es exactamente la razon por la que los operadores terminan enterandose por una demanda en lugar de por el contrato. Las reglas que siguen no se escribieron pensando en los clasificados para adultos, y la mayor parte del dinero involucrado hasta ahora ha venido de plataformas sociales y aplicaciones de la economia de plataformas, no de directorios. Eso no es motivo para relajarse: la tecnologia que genera la exposicion es el mismo software de coincidencia facial, vendido a menudo por los mismos proveedores, integrado en el mismo tipo de flujo de registro sobre el que ya funciona este sector.

Que cuenta realmente como dato biometrico

Illinois, que tiene la version mas estricta de esta ley, define un identificador biometrico de forma acotada: un escaneo de retina o iris, una huella dactilar, una huella de voz, o un escaneo de la geometria de la mano o del rostro. La ley paralela de Texas cubre la misma lista breve. Ambas leyes se toman el trabajo de aclarar que no cuenta: una fotografia por si sola queda excluida, junto con una muestra de escritura o una firma. Leido rapido, suena tranquilizador para un directorio que maneja sobre todo fotografias de licencias de conducir y selfies.

La exclusion no sobrevive al contacto con como funciona realmente el software de coincidencia. Los tribunales federales de Illinois ya han resuelto que una plantilla de geometria facial extraida de una fotografia por lo demas exenta sigue siendo un identificador biometrico cubierto, porque la ley regula lo que el software deriva de la imagen, no el archivo de imagen que descansa en una carpeta. Un selfie que un revisor humano observa y descarta es, legalmente, muy distinto del mismo selfie procesado por un motor de coincidencia que lo convierte en un conjunto de medidas usadas para compararlo con la foto del documento.

La consecuencia practica es que la etiqueta de la funcion de tu proveedor hace gran parte del trabajo de decirte que reglas aplican, y vale la pena hacer la pregunta directa y poco glamurosa en lugar de confiar en el texto de marketing: esta verificacion en concreto genera y conserva una plantilla de geometria facial, o solo compara dos imagenes sin generar ese dato intermedio? Los proveedores que venden en este espacio suelen conocer la respuesta de inmediato, porque es la misma respuesta que su propio equipo legal les pidio hace anos.

El consentimiento que la casilla de tu proveedor no cubre

Illinois exige, por escrito y antes de que ocurra cualquier escaneo, que a la persona se le informe el proposito especifico de la recoleccion y el tiempo exacto que se conservaran los datos, seguido de una autorizacion escrita, que desde una enmienda de agosto de 2024 puede tomar la forma de una firma electronica. La aceptacion generica de los terminos de servicio casi nunca satisface esto, no porque le falte una casilla, sino porque no fue redactada con ese proposito especifico: rara vez indica un periodo de retencion, y viene junto con docenas de clausulas sin relacion en lugar de figurar por si sola como el aviso especifico que describe la norma.

La version de Texas impone una estructura paralela: aviso y consentimiento antes de capturar el escaneo, una prohibicion de vender o alquilar los datos resultantes a terceros, y un plazo estricto de destruccion de no mas de un ano despues de que se haya cumplido el proposito que justifico la recoleccion. Lo que ocurre con la foto original y el archivo del documento despues de ese punto es un problema aparte, que este blog ya ha tratado en detalle, pero la plantilla biometrica creada durante la comparacion esta sujeta a un plazo mas estricto, impuesto por la norma, que corre con independencia del calendario de retencion que hayas fijado para el documento en si.

Ninguna de las dos leyes permite a un operador senalar la politica de privacidad del proveedor y dar por satisfecho el requisito de aviso. La obligacion recae sobre la empresa que realmente esta recolectando datos de la persona, lo cual es una pregunta sobre como esta disenado tu flujo de registro, no sobre que marca aparecia en la ventana emergente en la que hizo clic el anunciante. Si tu flujo enruta el selfie y la foto del documento a traves de tu propio dominio antes de entregarlos al proveedor, eres tu quien provoca la recoleccion desde el punto de vista del anunciante, diga lo que diga el contrato con el proveedor sobre quien es tecnicamente responsable.

Lo que realmente cuesta una infraccion

Illinois fija los danos previstos por ley en 1.000 dolares o el dano real, el que sea mayor, para una infraccion negligente, y 5.000 dolares o el dano real para una infraccion intencional o temeraria. La corte suprema del estado resolvio hace anos que quien demanda no necesita probar ningun dano mas alla del propio incumplimiento documental: la falta de un aviso o de una autorizacion escrita basta por si sola, sin importar si el dato biometrico llego a usarse mal alguna vez.

Illinois trato de suavizar la version mas dura de esa cuenta en agosto de 2024, cambiando la forma de contar las infracciones de una vez por escaneo a una vez por persona, lo cual marca la diferencia entre una sola demanda y decenas para el mismo anunciante que se verifica repetidamente a lo largo del tiempo. Si ese cambio alcanzaba tambien a los casos ya en curso siguio siendo una pregunta abierta en los tribunales hasta esta primavera, cuando un tribunal federal de apelaciones resolvio que si aplica a los casos pendientes, asi que el conteo por persona, mas suave, es ahora la regla realmente en vigor y no una promesa futura.

Texas y Washington construyeron la misma idea de fondo alrededor de una palanca distinta: ningun anunciante individual puede demandar directamente a tu directorio bajo la ley biometrica de ninguno de los dos estados, solo el fiscal general del estado puede iniciar un caso. Texas fijo su tope en 25.000 dolares por infraccion sin limite total, y fue exactamente ese numero el que su fiscal general uso para obtener 1.400 millones de dolares de Meta y 1.375 millones de dolares de Google por practicas de datos de reconocimiento facial ajenas a la verificacion de edad o identidad. Una demanda privada y una accion estatal de cumplimiento son dos formas distintas de la misma exposicion de fondo, y cual de las dos te afecta depende por completo de donde viven tus anunciantes, no de donde este registrada tu empresa.

El panorama mas amplio de la privacidad anade una tercera capa facil de pasar por alto: la mayoria de los mas de veinte estados de Estados Unidos que hoy tienen una ley integral de privacidad del consumidor clasifican los datos biometricos como una categoria aparte de informacion sensible, ademas de lo que ya exija una norma biometrica dedicada. Algunas de esas leyes exigen consentimiento expreso antes de que ese dato pueda procesarse siquiera, otras dan a la persona un derecho a oponerse despues, y las obligaciones de verificacion de edad ya vigentes ya dan por hecho que algun tipo de control de identidad o edad esta ocurriendo, sin resolver la pregunta aparte de que debe hacer un paso de coincidencia facial dentro de ese control para seguir siendo licito.

El proveedor no se interpone automaticamente entre tu empresa y la demanda

El ejemplo mas claro de como se desarrolla esto para un proveedor de verificacion de identidad en concreto, y no para una red social que etiqueta fotos, es Sosa contra Onfido. Onfido es una empresa con sede en el Reino Unido, sin oficina en Illinois, que ofrece exactamente el tipo de verificacion de identidad basada en coincidencia facial que un marketplace usa para confirmar que el documento de un nuevo usuario es autentico. Un residente de Illinois cuyo rostro habia sido escaneado mediante ese proceso demando directamente, y Onfido argumento que sus servidores y todo su negocio estaban fuera de Illinois, por lo que la ley del estado no podia alcanzarlo. El tribunal federal de apelaciones no estuvo de acuerdo: lo que importa es donde se capturo y uso el rostro de la persona, no donde este la infraestructura o la sede de la empresa. Onfido resolvio la demanda por unos 28,5 millones de dolares.

Ese resultado no es automatico solo porque quien demande viva en Illinois. Otro tribunal desestimo una demanda similar contra una empresa canadiense de aplicaciones porque las descargas desde Illinois por si solas, sin mas, no bastaban para vincular la conducta de la empresa con el estado. Tener sede fuera de Illinois a veces funciona como defensa y a veces no, y la diferencia suele depender de detalles que el operador controla directamente: como esta construido el flujo de verificacion, cuantas de las personas afectadas estan realmente en ese estado, y con que profundidad llegan alli los propios sistemas de la empresa, mas que de donde este registrado el negocio.

Un fallo mas reciente importa aun mas para un operador que nunca maneja personalmente el escaneo. En enero de 2026, un tribunal de apelaciones de Illinois resolvio que una empresa que simplemente integra el sistema biometrico de un proveedor, sin adquirir ni controlar ella misma el dato biometrico resultante, no es en absoluto un recolector segun la norma, rechazando la idea de que todo aquel cuyo producto toca el proceso comparte la misma exposicion. Leido con claridad, esto significa que la linea que separa a un operador con exposicion real de uno sin ella no es si en algun punto del camino se escaneo un rostro. Es si el propio operador llega a recibir, conservar o controlar la plantilla geometrica resultante, en lugar de ver solo un resultado de aprobado o rechazado que le devuelve el proveedor.

Que revisar antes de renovar el proximo contrato

Empieza por hacerle al proveedor la pregunta directa y poco glamurosa: esta verificacion en concreto genera y conserva una plantilla de geometria facial, o se limita a comparar dos imagenes sin generar ese dato intermedio? Consigue la respuesta por escrito en lugar de deducirla del nombre comercial de la funcion, porque coincidencia facial y deteccion de vida describen procesos tecnicos muy distintos segun que proveedor los este vendiendo.

Despues confirma, verificandolo tecnicamente y no solo confiando en la palabra dada, que la integracion nunca envia la plantilla biometrica original de vuelta a tus propios sistemas, y que solo un resultado de verificacion cruza esa frontera. Los tribunales estan usando cada vez mas esa misma distincion para decidir que parte de la cadena cuenta como la que tiene exposicion legal real, lo cual la hace mas importante que un parrafo en un contrato con el proveedor que nadie vuelve a leer despues de firmarlo.

Pide el calendario publico de retencion y destruccion de datos biometricos del proveedor, ya que tanto Illinois como Texas exigen que exista uno publicado, y un proveedor que no puede presentarlo cuando se lo piden ya te ha dicho algo util sobre cuan cuidadosamente se construyo el resto de su proceso. Donde la politica del proveedor sea vaga o inexistente, asume que cerrar ese vacio te corresponde a ti, no a el mas adelante.

Por ultimo, anade un paso de consentimiento independiente antes del escaneo mismo, separado de los terminos de servicio generales, que indique el proposito especifico y el periodo exacto de conservacion en lenguaje sencillo, y comprueba donde vive realmente tu base de anunciantes antes de asumir que una ley escrita para un estado no tiene nada que ver con una empresa registrada en otro. La norma que te alcanza la decide la direccion de tus anunciantes, no la tuya.