Tu rostro no es una contraseña: datos biométricos, la nueva LFPDPPP y lo que exige la CNBV
Una contraseña se cambia; un rostro no
Si a un cliente le roban la contraseña, la financiera la bloquea y le da otra. Si le clonan la tarjeta, se la repone en días. Pero si una base de datos filtra su rostro o sus huellas, no hay reposición posible: ese rasgo queda comprometido de por vida.
Eso convierte a cada base biométrica en un activo de alto riesgo. Bancos, Sofomes, Sofipos y Fintech acumulan millones de rostros para validar identidades, y no todas tienen la arquitectura para defenderlos de un ransomware o de una exfiltración. La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), vigente desde marzo de 2025, y la regulación financiera dicen cómo hacerlo.
¿La biometría es un dato sensible?
La nueva ley define como sensibles los datos que afectan la esfera más íntima de la persona, o cuyo uso indebido pueda causar discriminación o "conlleve un riesgo grave" (art. 2, fr. VI). Su lista de ejemplos no menciona la biometría, pero es enunciativa, no limitativa.
Un rostro o una huella robados permiten suplantar a una persona de forma permanente. Ese es exactamente un riesgo grave. La postura prudente, y la que defendemos, es tratar toda biometría como dato sensible. Las consecuencias son concretas:
Consentimiento expreso y por escrito, con firma autógrafa, firma electrónica o un mecanismo de autenticación (art. 8). El consentimiento tácito no basta, y una casilla premarcada difícilmente lo acredita.
Justificación de la base de datos: solo puede crearse para finalidades legítimas, concretas y acordes con la actividad de la empresa (art. 8).
Tiempo mínimo: el tratamiento debe limitarse al periodo mínimo indispensable (art. 12).
Sanciones al doble: las multas pueden incrementarse hasta dos veces y las penas de prisión se duplican cuando hay datos sensibles (arts. 59 y 64).
La autoridad que vigila y sanciona ya no es el INAI, que se extinguió en 2025, sino la Secretaría Anticorrupción y Buen Gobierno.
El ciclo de vida del dato biométrico
Cumplir no es firmar un aviso de privacidad al inicio. Cada etapa de vida del dato tiene su obligación, y para las entidades financieras la regulación de la CNBV agrega una capa encima de la LFPDPPP.
Etapa | Qué exige la LFPDPPP | Qué agrega la regulación financiera |
|---|---|---|
Recolección | Aviso de privacidad con sus seis elementos, que identifique los datos sensibles; en canales digitales, aviso simplificado con liga al integral (arts. 15 y 16). Consentimiento expreso y por escrito (art. 8) | Bancos: captura biométrica conforme al Anexo 71 de la CUB, con prueba de vida y cotejo contra INE o SRE |
Justificación | Base de datos sensible solo para finalidades legítimas y concretas; tratar solo lo necesario (arts. 8 y 12) | La finalidad de verificación de identidad está prevista en la regulación |
Resguardo | Medidas de seguridad administrativas, técnicas y físicas, no menores a las que se aplican a la propia información (art. 18); confidencialidad de todos los que intervienen (art. 20) | Bancos: ocho controles del Anexo 71, incluidos segregación, cifrado y pruebas de penetración |
Uso | Derecho de oposición a decisiones automatizadas sin intervención humana que afecten significativamente a la persona (art. 26) | Política documentada de umbrales y de revisión manual |
Transferencia | Comunicar el aviso al tercero receptor; excepciones, como las transferencias dentro del mismo grupo (arts. 35 y 36) | Bancos: prohibido vender, compartir o hacer interoperable la base biométrica, salvo lo previsto en el art. 113 de la Ley para Regular las Agrupaciones Financieras (CUB, art. 51 Bis 2) |
Incidente | Informar "de forma inmediata" a los titulares las vulneraciones que afecten significativamente sus derechos (art. 19) | Aviso inmediato a la CNBV y otros plazos (siguiente sección) |
Fin del uso | Supresión previo bloqueo, por el plazo de prescripción (arts. 10 y 24) | Bancos: supresión que impida la recuperación y evidencia de haberlo hecho (CUB, art. 51 Bis 2) |
Un punto que suele olvidarse: suprimir no siempre es inmediato. La ley no obliga a cancelar datos que deben conservarse por disposición legal (art. 25), y la regulación de prevención de lavado exige guardar el expediente al menos 10 años después de cerrar la cuenta. La salida correcta es bloquear durante ese plazo y suprimir al terminar, con evidencia de ambas cosas.
Un incidente, varios relojes
Si te regula la CNBV, la LFPDPPP es tu piso, no tu techo. Un mismo incidente puede activar avisos distintos, a autoridades distintas y con plazos distintos, y ninguno sustituye a otro.
Las Disposiciones de la CNBV para instituciones de financiamiento colectivo lo detallan en su artículo 67:
Obligación | Plazo | Se cuenta desde |
|---|---|---|
Aviso a la CNBV ([email protected]), con fecha y hora de inicio, descripción y evaluación inicial del impacto | De forma inmediata | El incidente |
Información de los Anexos 11 y 12 | 5 días hábiles | La identificación del incidente |
Aviso a los clientes si su Información Sensible fue extraída, extraviada, eliminada o alterada, o se sospecha un acceso no autorizado | 48 horas | Que ocurrió el incidente o que se tuvo conocimiento de él |
Plan de trabajo para eliminar o mitigar las causas | 15 días hábiles | Que concluyó el incidente |
Aviso a los titulares por la LFPDPPP, si la vulneración afecta significativamente sus derechos | De forma inmediata | La vulneración |
Dos detalles importan. Primero, los eventos de seguridad relacionados con imágenes de identificaciones oficiales e información biométrica de los clientes deben reportarse a la CNBV aunque no lleguen a incidente. Segundo, circula la idea de que el aviso a la CNBV es "en 72 horas": no está en el texto, el aviso es inmediato.
Los bancos tienen obligaciones equivalentes en la CUB, y otras figuras, como las instituciones de fondos de pago electrónico o las Sofipos, en sus propias disposiciones. La lógica se repite, y hay un riesgo práctico: varios plazos se cuentan desde el incidente, no desde que el equipo lo detecta. Sin capacidad de detección, se puede incumplir antes de saber que hubo un incidente.
Lo que cuesta incumplir
La nueva ley fija las multas en Unidades de Medida y Actualización (UMA) y las agrava cuando hay datos sensibles (art. 59).
Conducta (art. 58) | Multa |
|---|---|
No atender derechos ARCO sin razón fundada | Apercibimiento |
Negligencia en solicitudes ARCO, aviso de privacidad incompleto, tratar datos contra los principios de la ley, entre otras (fr. II a VII) | 100 a 160,000 UMA |
Romper la confidencialidad, vulnerar la seguridad de las bases de datos por causa imputable, transferir sin permiso, recabar sin consentimiento expreso cuando es exigible, crear bases sensibles sin justificación, entre otras (fr. VIII a XVIII) | 200 a 320,000 UMA |
Reiteración de cualquiera de las anteriores | Multa adicional de 100 a 320,000 UMA |
Infracciones con datos sensibles | Hasta el doble |
Con la UMA de 2025 (113.14 pesos), una multa de 320,000 UMA ronda 36.2 millones de pesos, y puede llegar al doble con datos sensibles.
La ley también tipifica delitos: de tres meses a tres años de prisión a quien, autorizado para tratar datos, provoque con ánimo de lucro una vulneración de las bases bajo su custodia (art. 62), y de seis meses a cinco años a quien trate datos mediante engaño para lucrar (art. 63). Con datos sensibles, las penas se duplican (art. 64).
La postura de Robo de IDentidad MX: los datos que no tienes, no te los pueden robar
La mejor protección de una base biométrica es que contenga lo mínimo y que lo que contenga no sirva fuera de su sistema. Eso se traduce en cinco decisiones de diseño:
Preguntar primero si hace falta. ¿Un microcrédito de bajo monto necesita biometría facial, o basta otro mecanismo? La ley exige justificar cada base sensible.
Guardar plantillas protegidas, no fotografías. Convertir la captura en una plantilla biométrica protegida (ISO/IEC 24745) y no conservar imágenes que no se necesiten.
Separar y cifrar. Base biométrica aislada del resto de los sistemas, cifrada en tránsito y en reposo, con bitácora de cada acceso privilegiado.
Contratar bien a los encargados. El proveedor de biometría o de nube trata datos por cuenta de la institución, pero la responsabilidad frente al titular y a la autoridad sigue siendo de la institución. El contrato debe fijar seguridad, confidencialidad y qué pasa con los datos al terminar.
Planear la salida desde el día uno. Plazos de bloqueo y de supresión definidos, y evidencia de que se cumplieron.
Si el consejo de administración no sabe dónde están los datos biométricos de sus clientes, quién tiene acceso y cuándo se destruyen, la institución está expuesta, aunque tenga un aviso de privacidad impecable.
Checklist: 8 preguntas para revisar este trimestre
Inventario: ¿sabe qué datos biométricos trata, dónde viven, quién accede y cuánto tiempo los conserva?
Justificación: ¿está documentado por qué cada producto necesita biometría y no un mecanismo menos invasivo?
Aviso de privacidad: ¿tiene los seis elementos del artículo 15, identifica los datos sensibles y coincide con las finalidades reales?
Consentimiento: ¿obtiene consentimiento expreso y por escrito, con evidencia, antes de capturar el rostro o la huella?
Derechos ARCO: ¿hay un responsable designado y un proceso capaz de responder en 20 días hábiles y ejecutar en 15? (arts. 29 y 31)
Seguridad: ¿la base biométrica está aislada, cifrada y con bitácora de accesos, y se prueba contra ataques?
Incidentes: ¿su procedimiento integra el aviso a los titulares de la LFPDPPP y los avisos que le exija la CNBV, con un solo momento de detección y un responsable?
Encargados y salida: ¿los contratos con proveedores fijan seguridad y destino de los datos, y hay plazos de bloqueo y supresión con evidencia?
Un activo que también es un pasivo
Una base biométrica bien gobernada es una ventaja competitiva: acelera el onboarding y frena la suplantación. Mal gobernada, es un pasivo legal que no prescribe, porque el rostro de un cliente no se puede reponer.
En Robo de IDentidad MX ayudamos a bancos, Sofipos, Sofomes y Fintechs a revisar el ciclo de vida de sus datos biométricos contra la LFPDPPP y la regulación de la CNBV, y a cerrar las brechas antes de que se conviertan en un incidente.
Agende un diagnóstico ejecutivo de 30 minutos. Revisamos su operación contra las 8 preguntas de este artículo y le entregamos un semáforo de brechas, sin costo. [email protected]
Este artículo es de carácter informativo y no constituye asesoría legal. Las referencias regulatorias deben revisarse contra el texto vigente publicado en el DOF.
