El reconocimiento facial está llegando rápido al mundo empresarial en México. Las cadenas de retail, centros comerciales y empresas con múltiples sucursales lo están adoptando principalmente para prevención de robo e identificación de personas de riesgo. Pero hay algo que muchos responsables de operaciones no saben antes de activar el sistema: los rostros son datos personales bajo la ley mexicana, incluso si nunca se asocian a un nombre.
Y eso cambia completamente lo que debes hacer antes de encender la cámara.
¿Por qué los rostros son datos sensibles?
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) clasifica los datos biométricos como datos sensibles, lo que significa que requieren el nivel de protección más alto que contempla la normativa.
Un rostro capturado por una cámara —aunque nunca se vincule a un nombre, un RFC o un expediente— es suficiente para identificar a una persona. Eso lo convierte en dato personal protegido por ley.
Las consecuencias de no cumplir van desde sanciones del INAI hasta responsabilidad legal en caso de una brecha de datos.
Las 6 obligaciones legales que debes cubrir
1. Aviso de privacidad visible en cada sucursal
Antes de que cualquier cliente o visitante entre a una instalación donde opera reconocimiento facial, debe poder ver un aviso claro. Este aviso debe indicar:
- Que opera un sistema de videovigilancia con reconocimiento facial.
- La finalidad específica del tratamiento de datos.
- Los datos de contacto del responsable del tratamiento.
No es opcional. No es suficiente tenerlo en el sitio web.
2. Finalidad específica y limitada
Los datos biométricos captados solo pueden usarse para el propósito declarado. Si el sistema se implementó para prevención de robo, no puede reutilizarse para marketing, análisis de comportamiento de clientes o cualquier otro fin distinto al declarado originalmente.
Ampliar el uso sin actualizar el aviso de privacidad y obtener consentimiento es una violación a la ley.
3. Acceso restringido a personal autorizado
La base de datos del sistema no es de acceso libre. Solo deben poder consultarla personas de áreas específicas: seguridad, compliance y legal. Cada acceso debe estar documentado y justificado.
4. Política de retención y eliminación documentada
Debes definir por escrito cuánto tiempo se conservan los datos y cuál es el proceso de eliminación al vencer ese plazo. No se pueden guardar indefinidamente. El plazo debe ser proporcional a la finalidad (prevención de robo) y estar formalizado en una política interna.
5. Controles técnicos de seguridad
La ley exige medidas técnicas proporcionales al riesgo. Para datos biométricos, esto incluye:
- Cifrado en reposo y en tránsito.
- Autenticación multifactor para acceder al sistema.
- Logs de auditoría de cada consulta realizada.
- Separación de la base de datos biométricos respecto a otros sistemas de la empresa.
6. Protocolo para compartir con autoridades
Si las autoridades solicitan acceso a la información, debe existir un protocolo formal que determine quién autoriza, qué se entrega y cómo se documenta. Está prohibido vender o ceder la información a terceros sin base legal.
Protección técnica por diseño: cómo funciona el almacenamiento responsable
Una de las preguntas más comunes es: ¿qué pasa si el sistema es hackeado y roban las fotos?
Los sistemas bien diseñados no almacenan fotografías. En su lugar, generan una representación matemática del rostro —un vector numérico, llamado embedding— que captura las características del rostro sin ser la imagen en sí.
La ventaja es crítica: incluso si la base de datos fuera comprometida, sería matemáticamente imposible reconstruir el rostro original a partir de esos números. Esto reduce de forma significativa el riesgo de exposición ante un incidente de seguridad y es un argumento sólido de cumplimiento ante el INAI.
Los 6 pasos para implementar el sistema correctamente
Si ya tomaste la decisión de implementar reconocimiento facial —o ya lo tienes operando—, este es el camino de cumplimiento:
Paso 1 — Involucrar al área legal antes del despliegue Un abogado especialista en privacidad debe revisar y formalizar el aviso de privacidad y las políticas internas antes de que el sistema entre en operación. No después.
Paso 2 — Redactar y publicar el aviso de privacidad Señalética en cada punto de entrada de cada sucursal. No basta con el sitio web ni con una política interna.
Paso 3 — Definir la política de retención y eliminación ¿Cuánto tiempo se guardan los vectores? ¿Quién ejecuta la eliminación? ¿Cómo se verifica que se hizo? Todo por escrito.
Paso 4 — Implementar los controles técnicos Cifrado, MFA, logs de auditoría, separación de bases de datos. Si tu proveedor no los ofrece de forma nativa, no es el proveedor correcto.
Paso 5 — Definir el protocolo de uso y acceso interno ¿Qué perfiles pueden usar el sistema? ¿Bajo qué circunstancias? ¿Con qué autorización? Documenta cada acceso.
Paso 6 — Revisión periódica La regulación sobre biométricos en México está evolucionando. El esquema de cumplimiento debe revisarse al menos una vez al año, o cada vez que haya cambios a la LFPDPPP.
Lo que el sistema puede hacer — y lo que no debe hacerse
Usos correctos del sistema:
- Identificar personas previamente registradas como riesgo.
- Alertar en tiempo real al personal de seguridad.
- Almacenar vectores matemáticos en lugar de fotografías.
- Operar sin recopilar nombre u otros datos personales adicionales.
Lo que no debe hacerse bajo ninguna circunstancia:
- Usar los datos para fines distintos a seguridad (marketing, análisis de tráfico, etc.).
- Compartir o vender información a terceros sin base legal.
- Operar sin aviso de privacidad visible en sucursales.
- Conservar datos indefinidamente sin política de eliminación documentada.
Conclusión
El reconocimiento facial es una herramienta legítima y efectiva para la seguridad en instalaciones comerciales. Pero implementarlo sin el marco legal correcto convierte una solución de seguridad en un pasivo legal.
La clave no es evitar la tecnología, sino adoptarla de forma responsable: con el aviso de privacidad correcto, los controles técnicos adecuados, y las políticas internas que respalden el cumplimiento ante cualquier revisión del INAI.
En HAKA acompañamos a empresas en el diseño e implementación de sistemas de videovigilancia con reconocimiento facial que cumplen con la LFPDPPP. Si quieres revisar si tu instalación actual está en regla, o si estás evaluando implementar el sistema, contáctanos.
Descarga la guía completa
Preparamos una infografía en PDF con las obligaciones legales, los pasos de implementación y los controles técnicos requeridos. Compártela con tu equipo legal, de compliance o de TI.
Descargar infografía PDF — Reconocimiento Facial y LFPDPPP